ロシア国家支援ハッカー集団「LAUNDRY BEAR」、Zimbraのゼロデイ脆弱性を悪用しメールと2FAコードを窃取

脅威グループ：LAUNDRY BEAR

ロシア政府の支援を受けるAPTグループは 「LAUNDRY BEAR」（ランドリーベア） として追跡されています。この名称は、当初オランダのAIVD（情報治安総局）とMIVD（軍事情報治安局）によって命名されました 。本グループの攻撃活動は、遅くとも2025年7月から確認されています 。

アドバイザリでは、LAUNDRY BEARの活動目的はロシア連邦のためのスパイ活動（諜報活動）であると評価。ウクライナを対象とした攻撃が先行し、その後「より広範なグローバル展開の前に、悪意あるサイバー技術のテストベッドとして利用された」という分析が示されています 。標的とされた分野は、防衛、教育、エネルギー、法執行、メディア、金融、運輸、テクノロジーと多岐にわたります 。

脆弱性：CVE-2025-66376

CVE-2025-66376 は、Zimbra Collaboration Suite（ZCS）Classic UI に存在する格納型クロスサイトスクリプティング（XSS）脆弱性です。原因は、HTMLメール内のCSS @import ディレクティブの不適切な処理にあります 。

• 影響を受けるバージョン: ZCS 10.0.x（10.0.18未満）および 10.1.x（10.1.13未満）
• パッチリリース日: 2025年11月
• CVSSスコア: 情報源により 7.2（High） または 6.1（Medium） と評価。CISAは2026年3月に本脆弱性を既知の悪用脆弱性カタログ（KEV）に追加しました 。

ゼロクリック攻撃のメカニズム

本攻撃の最も危険な特徴は、ゼロクリック／ビューベースのエクスプロイトである点です。標的のユーザーは、悪意のあるメールを開封（表示）するだけで攻撃が成立します。リンクをクリックしたり、添付ファイルを開いたりする操作は一切不要です 。

攻撃が発動すると、カスタムのJavaScriptペイロードが格納型XSSを介して被害者のブラウザ内で実行されます 。

窃取されるデータ

攻撃者は以下の情報を収集します ：

• 過去90日間のメール通信
• 組織のメールアドレス帳（グローバルアドレスリスト / GAL）
• アカウントパスワード（ブラウザのオートコンプリート機能を利用）
• 2FAのスクラッチコードおよび新たに作成されたアプリケーションパスワード
• 検索履歴およびセッショントークン

カスタム機能：「beehive」（ビーハイブ）

LAUNDRY BEARグループは、独自のデータ窃取・集約機能 「beehive」 を開発・使用しています 。当局は、この機能が他の脆弱性の悪用にも応用・再利用される可能性が高いと警告しています 。

アドバイザリでは、多段階のデータ窃取アーキテクチャについて詳細が説明されています。窃取したデータは HTTPS に加え、DNSトンネリング（「Ulej」と呼ばれるツールと「Flowerbed」サーバーコンポーネントを使用）を用いて外部に送信されます。このDNSクエリはRFC 1035に準拠し、ペイロードはbase32でエンコードされます 。

組織が取るべき対策

アドバイザリでは、以下の対策を強く推奨しています ：

1. Zimbraを直ちにアップデート — ZCS 10.0.18 / 10.1.13 またはそれ以降のバージョンに更新する。
2. 侵害指標（IOC）を確認 — アドバイザリに含まれるIOCを使用して、自組織が攻撃を受けていないか確認する。
3. 不審な認証アクティビティを監視 — 異常なSOAPリクエスト、新しいアプリケーションパスワードの作成、DNS窃取のパターンに注意する。
4. パッチ適用が難しい場合はClassic Webメールクライアントの使用を避け、Modern UIに切り替える — Modern UIは本脆弱性の影響を受けない。
5. ネットワーク監視の強化やMFAの見直しを含む、追加の緩和策を実施する。

重要な注意点

• 本脆弱性は、パッチがリリースされるまでの約5か月間（2025年7月～11月）、ゼロデイとして悪用されました。現在も、未修正のインスタンスを狙った攻撃は活発に継続しています 。
• アドバイザリは、本活動を「ほぼ間違いなく」ロシア政府による国家支援型のスパイ活動と評価しており、金銭的な脅迫（ランサムウェアなど）の意図は一切確認されていません 。