Threat Researchは、共同でご協力いただいたプルーフポイント Cloudmark Authorityチームに感謝いたします。
主な調査結果
- 2026年7月22日、ロシアと連携する脅威アクターTA488（Void Blizzard、Laundry Bear）に関するNSAとの共同公開の前日、同アクターはOutlook Web Access（OWA）のクロスサイトスクリプティング（XSS）脆弱性であるCVE-2026-42897を悪用するキャンペーンを開始しました。
- このキャンペーンは、米国および欧州の政府機関に加え、通信、金融、ホスピタリティ、航空宇宙分野を標的としていました。
- TA488は、「ハーフクリック」エクスプロイト（メールを開くだけで侵害が発生する攻撃）の利用をさらに強化しており、大幅に改善されたロード機構、攻撃手法、マルウェアを採用していることから、このグループの攻撃手法と能力が向上していることが示されています。
- この新たな感染チェーンは、OWA環境内で永続的なアクセスを実現することを目的に設計された、これまで確認されていなかったJavaScriptベースのブラウザ常駐型インプラント「OWAReaper」で終結します。
- OWAReaperはOWAのブラウザコンテキスト内で動作し、ホスト上に痕跡を残さないステルス性の高いインプラントとして機能します。また、2つのC&C通信チャネルと2つのデータ窃取プロトコルを使用します。ブラウザの再起動、認証情報の変更、さらには被害者デバイスの完全な再イメージ後でも動作を継続できます。
- このキャンペーンで使用された最も古いインフラは2026年3月に作成されており、MicrosoftがCVE-2026-42897に対する帯域外パッチを公開する2か月前に構築されていました。そのため、TA488がこの脆弱性をゼロデイ脆弱性として悪用していた可能性があります。
概要
2026年7月22日（プルーフポイントとNSAによる共同公開の前日）、TA488はOutlook Web Access（OWA）のクロスサイトスクリプティング（XSS）脆弱性であるCVE-2026-42897を悪用する新たな攻撃を開始しました。プルーフポイントには、この新たな活動を分析し、対応し、既存のレポートへ反映する十分な時間がなかったため、本活動について注意喚起する目的で迅速なフォローアップレポートを公開します。
TA488は、一連の侵害済みアカウントを使用して、Outlook Webmailの脆弱性を悪用するメールを送信しました。このキャンペーンは、政府機関、通信、金融、ホスピタリティ、航空宇宙分野の組織を標的としていました。送信されたメールの件数と標的範囲はTA488としては異例であり、大量配信スパムに紛れ込ませて監視の目を逃れることを意図し、あえて広範囲を標的にした可能性があります。
メールがOutlook Webmailで開かれると、Outlook Exchangeサーバーがメール内のHTMLを不適切に処理し、任意のJavaScriptを実行します。その結果、メッセージ本文内のペイロードが実行され、プルーフポイントが「OWAReaper」と名付けたインプラントが展開されます。
配信とエクスプロイト
TA488は、標的ユーザーに対して特定の行動を促さない、意図的に曖昧な内容のメールを使用しました。メール本文は、サプライチェーン分析、調査の最新情報、観光市場やガス市場に関する一般的な指標やメトリクスなど、情報提供メールを装うように作成されていました。
図1. 2026年7月に確認されたTA488の「半導体サプライチェーン」を題材としたおとりメール
このような汎用的なおとりコンテンツの利用は、TA488によるハーフクリックエクスプロイトを含むメールで一貫して確認されているTTPです。件名やおとりの内容はごく平凡なものであり、標的ユーザーがメールを開いてざっと目を通した後、不審なURLや添付ファイルが存在しないことから、単なる不要メールとして報告せずに破棄することを狙っていると考えられます。
|
確認された件名 |
|
Capacity Build-Out: Pipelines, Pricing, and Interconnection Metrics |
|
Global Gas Markets: Flows, Capacity, and Price Differentials |
|
Global Tourism Indicators: Arrivals, Occupancy, and Heritage Management |
|
Hydrological indicators: Reservoir levels and snowpack |
|
Nuclear Energy Update: Fleet Metrics and Project Status |
|
Oceanic Indicators: Fisheries, Aquaculture, and Reef Health |
|
Public Health Surveillance: Wastewater, Flu, AMR |
|
Semiconductor Supply Chain Indicators: Capacity, Packaging, and Pricing |
図2. TA488で使用されたメール件名の例
これらのメールは、Outlook Web Accessに存在する脆弱性 CVE-2026-42897を悪用しています。この脆弱性では、サーバーがメッセージ本文内のHTMLを十分にサニタイズしません。その結果、JavaScriptローダーがonload=イベントハンドラーを利用してメッセージ本文の残りを解析し、Base64の断片を組み立て、エンコードされたJavaScriptとして実行できます。初期のエクスプロイトトリガーと関連するペイロードデータは、メッセージ本文のHTML内に表示されるソーシャルメディアアイコンに格納されています。次段階のペイロードデータは「#」記号の後ろに保存されており、ブラウザはBase64から画像を解析する際に「#」以降を読み込まない仕組みを悪用しています。
図3. 不適切なHTMLサニタイズ処理によって実行されるJavaScript
TA488によるこれまでのZimbraを標的とした攻撃と比較すると、メッセージ本文内でのペイロード保存方法はさらに巧妙になっており、判別がより困難になっています。
OWAReaper
OWAReaperは、本稿執筆時点でプルーフポイントが確認したハーフクリックエクスプロイトによって配信されるバックドアの中で、最も高度なものです。その最大の理由は、巧妙な永続化メカニズムを複数備えている点にあります。このマルウェアは、過去のキャンペーンで使用されたZimReaperペイロードを進化させたものであり、コードや動作には多くの共通点があります。例えば、DOMからオートフィルされたパスワードを取得する方法（同じサイズの不可視ポップアップを-9999px/-9998pxの位置に配置する手法）や、エラーハンドリングおよびレポート機能は非常によく似ています。一方で、ZimReaperとは異なり、メールを大量に窃取する機能は備えておらず、これは攻撃者の運用上の秘匿性を高めるためと考えられます。
OWAReaperは、Outlook Web Access（OWA）の閲覧ウィンドウ（リーディングペイン）内だけで実行されます。実行されると、Outlook APIを使用してExchangeサーバー上のメールを書き換え、エクスプロイトの内容を削除します。同時に、実行中はOWAのポップアップ表示と右クリック操作を無効化します。その後、標的ごとに固有のセッションキーを生成し、標的のメールアドレス、ユーザー名、Outlookの設定情報を収集します。さらに、DOM内に2つの不可視入力要素を作成し、ブラウザのオートフィル機能によってユーザー名とパスワードが自動入力されるのを待ち受けることで、ユーザーのOWA保存済み認証情報を取得します。
続いてOWAReaperは、自身の暗号化されたコピーと、それを復号するラッパーコードをブラウザのlocalStorageへ書き込みます。保存先は、PageDataPayload.OwaUserDefaultSettingsキー内の設定フィールドです。このキーはOWAがページ描画時に正規に使用しているものであり、OWAは同期復元処理の一環としてOwaFrontendSyncStateを自動的に評価します。そのため、ユーザーがブラウザでOWAのタブを開くたびに、通常のOWA同期処理によってOWAReaperが自動的に実行されます。
図4. OWA設定に永続化を構成するOWAReaper
次に、ReadWriteMailbox権限を持つOutlookアドイン（OWAおよびデスクトップ版Outlookクライアントの両方で利用可能）がインストールされているかを確認します。該当するアドインが存在する場合、それらを利用してGetClientAccessTokenを呼び出し、OAuthトークンを窃取します。さらに、UpdateFolderを呼び出して、すべてのメールフォルダーにおいて「Default」ユーザー（すべてのMicrosoft Exchangeテナントに存在する低権限の既定エイリアス）へ所有者（Owner）権限を付与します。言い換えれば、同一組織内の認証済みユーザーであれば誰でも、そのメールボックスへ完全にアクセスできる状態になります。これは感染チェーンの重要な要素です。TA488が組織内の他のアカウントにもアクセス権を持っている場合、標的メールボックスへの永続的なアクセスを維持できます。この永続化はサーバー側で維持されるため、Exchangeサーバー上で意図的に削除しない限り残り続けます。認証情報を変更したり、標的ユーザーのデバイスを完全に再イメージしたりしても、攻撃者を排除することはできません。
図5. TA488によるOWAReaperの感染チェーン
最後にOWAReaperは、OWAのオフラインIndexedDBメッセージキャッシュに保存されているメールへ隠しiframeを追加し、キャッシュ機能を有効化することで、さらに別の永続化手法を構築します。このiframeは、被害者がキャッシュ内の細工されたメールを開くたびに実行されるため、ホストが再イメージされた後でも標的を再感染させることができます。
コマンド＆コントロール
OWAReaperは、コマンド＆コントロール（C&C）に2つの方法を使用できます。コマンドは、公開されているGitHubのコミットメッセージから取得するか、攻撃者が送信した受信メールから読み取ります。このスクリプトは24時間ごとにGitHubのCommit Search APIへ問い合わせを行い、標的のメールアドレスを含む特別に細工されたコミットメッセージを検索します。取得したデータは解析され、JavaScript内にハードコードされたキーとセッションごとに生成されるAESキーを使用してAES-CTRで復号されます。これは、GitHub上で見つかったコマンドを第三者が復号できないようにするためと考えられます。復号後のデータには、コマンド種別を示す4文字のヘッダーが含まれています。GitHub検索で確認されたコマンドは次の3種類です。
- codeコマンド：OWAReaperのツールキット全体のコードを置き換えます。
- domnコマンド：OWAReaperが使用するC&Cサーバーを切り替えます。
- cmndコマンド：eval()を使用して任意のコードを一度だけ実行します。
図6. 標的IDを検索してコマンドを取得するためにGitHubへ問い合わせるOWAReaper
OWAReaperは、TA488のオペレーターから送信された受信メールを解析してコマンドを受け取ることもできます。このインプラントはIndexedDBを解析し、一意のメッセージ本文を抽出した上で、「{標的メールアドレス}{スペース}{Base64テキスト}」という構造を持つデータを探します。同じコマンドハンドラーが、GitHub方式で確認されたものと同じコマンド種別を解析します。また、5分ごとにこのオフラインキャッシュを確認し、過去30分以内に受信した新しいコマンドを取得します。OWAReaperはコマンドを含むメールを事前に検出して非表示にすることはできないため、TA488はエクスプロイト配信メールと同様に、一見すると無害なHTMLメールの中へコマンドを埋め込んで送信すると考えられます。
図7. メール経由でコマンドを取得するOWAReaperの機能
データ窃取
OWAReaperは、2種類の異なるデータ窃取プロトコルを実装しています。主な方法はHTTPSを使用するもので、AES-CTRで暗号化されたURIパスを利用します。この通信は、あらかじめ定義された画像コンテンツ配信ネットワーク（CDN）ドメインを経由するか、送信ネットワークセッション初期化時に指定された攻撃者管理サーバーへ直接送信されます。HTTPS方式が失敗した場合は、攻撃者管理ドメインのサブドメイン（ラベル）内にデータを埋め込んで送信するDNSラベルトンネリングを使用してデータを窃取します。
まず、OWAReaperのsend()関数は、HTTPまたはDNS通信ハンドラーへデータを転送する前のメッセージ送信機構として機能します。この関数は、{"subtype":"...","stage":"...","error":"..."}のようなキー・バリュー形式から送信メッセージを構築します。ファイルを窃取する場合は、{"subtype":"data","filename":"...","size":"..."}のようなファイルメタデータを使用してメッセージを構築します。この構造体は、_buildPackets()によってAES-CTRで暗号化された後、HTTPハンドラーの_httpCascadeまたはDNSハンドラーの_dnsFireへ渡されます。ファイル窃取時には、ファイルの内容そのものはAES-CTRで暗号化されず、HTTPハンドラーへPOST本文として直接送信されます。暗号化されるのはURIパス内のメタデータのみです。
図8. msanalytics.jsonファイルを窃取するOWAReaper
図9. OWAReaperのsend()関数
HTTPSによるデータ窃取では、OWAReaperは暗号化したデータをアセット取得リクエストに見せかけて送信します（URIパスは/assets/v1_<base64_aes_data>）。この通信は、Weserv.nlの画像キャッシュおよびリサイズサービス（images.weserv.nl）、WordPressの画像CDN（i3.wp.com）、Slackの画像CDN（slack-imgs.com）などの正規の画像CDNサービスを経由します。これらの画像CDNサービスは、TA488が管理するドメインacocdn[.]comからファイルを取得しようと試み、その過程で暗号化された窃取データを攻撃者へ中継します。すべての画像CDNプロキシが利用できない場合、OWAReaperはHTTP GETリクエストを使用してC&Cサーバーと直接通信する方式へ切り替えます。これらのドメイン名には「CDN」や「DNS」といった一般的な名称が使用されており、通常のブラウザ通信に紛れ込ませることを狙っていると考えられます。
図10. HTTPSによるデータ窃取手法
ファイルを窃取する際には、ファイルの内容は暗号化されず、HTTP POSTリクエストの本文としてacocdn[.]comへ直接送信されます。この方法で送信されるファイルは、次の4種類です。
|
ews_extensions_debug.json |
EWSトークン窃取が失敗した際のエラー診断に使用する、インストール済みOWAアドイン／拡張機能のメタデータをダンプしたファイル |
|
msanalytics.json |
/owa/sessiondata.ashxから取得したOWAの生セッションデータ。セッション状態、ユーザーID、メールボックス情報、設定情報を含むファイル |
|
cmnd_[HASH]_[FILENAME] |
リモートから実行されたcmndコマンドの出力ファイル |
|
poison_wizard_error_dom.html |
永続化設定ウィザードが失敗した際に取得される、OWAオフライン設定ページのDOMスナップショット |
図11. OWAReaperがPOSTリクエストで窃取するファイルの種類
DNSによるデータ窃取は、HTTPS方式が失敗した場合のフォールバック手段です。窃取対象のデータはまずAES-CTRで暗号化され、その後、制限付きの英数字（0～9、a～v）を使用したBase32形式でエンコードされます。続いて、データはランダムに2～4個の部分文字列へ分割され、それらを攻撃者管理ドメインのサブドメインとして組み込んだDNS Aレコード問い合わせが生成され、ネットワーク経由で送信されます。
図12. DNSクエリによるデータ窃取
まとめ
プルーフポイントは、Webメール閲覧環境を標的としたハーフクリックXSSエクスプロイトの使用、ZimReaperとの動作上の共通点、エンコードされたDNSによるデータ窃取、そしてメールおよび認証情報の窃取を目的としている点に基づき、この活動をTA488によるものとアトリビューション(攻撃者の紐づけ)しています。この活動は、TA488が運用上の秘匿性を大幅に向上させ、より巧妙で高機能なマルウェアを開発していることを示しています。また、Outlook Web Accessを標的としたエクスプロイトは、このグループによる脅威がさらに高まっていることを浮き彫りにしています。
新たに確認された活動から、TA488は政府機関や防衛分野に対する情報収集を引き続き優先しつつも、幅広い業界へ関心を広げていることがうかがえます。一方で、おとりメールのテーマは依然として一般的で目立たない内容であり、標的がメールを開いてざっと目を通した後、最終的には重要視せずに見過ごしてしまうよう誘導しています。
使用されたインフラの構築時期を踏まえると、このキャンペーンは、CVE-2026-42897を悪用した過去の比較的小規模なTA488キャンペーンの成功を踏まえ、意図的に大規模に展開された可能性があります。このキャンペーンに関連する最初のインフラは2026年3月に作成されており、MicrosoftがCVE-2026-42897に対する帯域外パッチを公開する2か月前でした。この時系列から、TA488がこの脆弱性をゼロデイ脆弱性として悪用していた可能性があります。もしそうであれば、マルウェアの高度化に加え、より攻撃が困難なOutlook Web Access向けエクスプロイトの開発を実現したことは、TA488の攻撃能力が大きく向上したことを示しています。
前回のプルーフポイントによるTA488に関する公開でも触れたとおり、Threat Researchは2026年2月から2026年7月22日までの間、このグループによる活動を確認していませんでした。しかし、TA488が新たなハーフクリックエクスプロイトを使用していることをリアルタイムで発見したことから、プルーフポイントは直近の公開内容に続くフォローアップレポートを速やかに公開しました。
検知と対策
プルーフポイントは、影響を受けた組織に対し、影響を受けたアドインで使用されているExchange Web Services（EWS）トークンの失効と監査、「Default」ユーザーに付与されたExchangeフォルダー権限の監査および削除、影響を受けたエンドポイントにおけるOWAのIndexedDB（owa_offline_db）およびPageDataPayload.OwaUserDefaultSettingsのlocalStorageキーの削除、さらに以下のC&Cサーバーへの外向き通信をブロックまたは検知対象とすることを推奨します。
追加のパッチ適用および緩和策については、Microsoft Exchange Team Blogをご参照ください。
ETルール
2071331 - ET MALWARE OWAReaper C2 Beacon
2071332 - ET MALWARE OWAReaper C2 File Exfiltration (msanalytics.json)
2071333 - ET MALWARE OWAReaper C2 File Exfiltration (ews_extensions_debug.json)
2071334 - ET MALWARE OWAReaper C2 File Exfiltration (poison_wizard_error_dom.html)
2071335 - ET MALWARE OWAReaper DNS Tunnel Exfiltration via DNS Lookup (asecdns com)
IoC (Indicator of Compromise / 侵害指標）
|
Indicator |
Type |
Description |
First Seen |
|
asecdns[.]com |
Domain |
OWAReaper C&C |
March 2025 |
|
acocdn[.]com |
Domain |
OWAReaper C&C |
March 2025 |
|
dnsrecursive[.]eu |
Domain |
OWAReaper C&C |
April 2025 |
|
tdndns[.]com |
Domain |
OWAReaper C&C |
April 2026 |
|
6897b649f29e54d8910459963bbf94ed5c7a4fe66a56bc5962540b226b8e48c4 |
SHA256 |
HTML message body containing exploit and OWAReaper payload |
July 2026 |