本記事は、ロシアのスパイ活動を行う攻撃者が政府機関のWebメールサーバーを標的に、ハーフクリックエクスプロイトを悪用している実態について、プルーフポイントが公開する全2回のブログシリーズの第2回です。TA488に関する第1回の記事はこちら、NSAによる関連アドバイザリはこちらをご覧ください。
Threat Researchチームは、プルーフポイント Cloudmark Authorityチームに感謝いたします。
主な調査結果
- Operation RoundPressの背後にいるロシア寄りの脅威アクターTA458は、機密性の高いメールデータを窃取する手段として、ハーフクリックエクスプロイトを利用したWebメールへの攻撃を引き続き重点的に行っています。
- 「ハーフクリックエクスプロイト」は、ソーシャルエンジニアリングを必要とせず、ユーザーがリンクをクリックしたり添付ファイルを開いたりする必要もありません。標的ユーザーは悪意のあるメールをWebメールビューアで開くだけで侵害される可能性があります。
- TA458は、業界や政府機関による活動の公表が繰り返されているにもかかわらず、その活動を継続しています。
- TA458はWebメール向けエクスプロイトの供給網にアクセスできるとみられます。ただし、これらのエクスプロイトが自ら開発されたものなのか、GRU内部から提供されたものなのか、あるいは第三者から調達されたものなのかは明らかではありません。
- プルーフポイントは、新たなエクスプロイトが各プラットフォームに対して使用されていることを確認した際、責任ある情報開示の手順に従って各ベンダーへ通知しました。
概要
TA458は、Webメールソフトウェアに存在する「ハーフクリック」型クロスサイトスクリプティング（XSS）エクスプロイトを豊富に保有するスパイ活動を目的とした脅威アクターです。TA458は、ロシア連邦軍参謀本部情報総局（GRU）と連携している可能性が高いと考えられます。2026年3月、プルーフポイントはTA458がSOGo Webメールプラットフォームのゼロデイ脆弱性を悪用していることを発見し、ベンダーであるAlintoへ報告しました。この脆弱性はバージョン5.12.8でCVE-2026-8496として修正されました。
TA458は主にウクライナ政府機関およびアルバニア、ギリシャ、モルドバ、トルコの軍事・政府機関を標的としており、化学、通信、テクノロジー企業も時折攻撃対象となっています。TA458は引き続き、Operation RoundPressで確認された難読化されたJavaScriptベースのマルウェア「SpyPress」を使用しており、標的となるメールサーバーに応じてその内容を変更しています。
背景
TA458は、2025年5月にESETが公開したOperation RoundPressブログ以降、Webメールへの攻撃対象を拡大しています。プルーフポイントは、Zimbra、mDaemon、Roundcubeへのエクスプロイトに加え、Kerio WebmailおよびSOGo Webmailを標的とするTA458の追加攻撃を確認しました。また、StrikeReadyも、2025年4月のキャンペーンにおいて、TA458がZimbra Webメールサーバーを標的にCVE-2025-27915をゼロデイとして悪用していたことを確認しています。プルーフポイントでは、TA458をOperation Roundishとは別の脅威アクターとして追跡しています。Operation Roundishは2026年3月にHunt.ioによって発見され、CERT-UAが2024年にAPT28のものと特定した既存のインフラを利用していました。
配信とエクスプロイト
TA458は、自ら管理するアカウントと侵害済みアカウントの両方を使用して、エクスプロイトを含むメッセージを送信しています。一部のケースでは、攻撃者はプロキシサービスを踏み台として利用し、メールを送信しています。プルーフポイントは、これまでに侵害されたメールサーバーが、新たな標的へエクスプロイトを含むメールを送信するために利用されている事例は確認していません。これは、SpyPressマルウェアが永続的なメールサーバーアクセスを確立できるのがmDaemonおよびRoundcube（後述）に限られているためであり、TA458は別の方法で送信元アドレスを調達している可能性が高いと考えられます。
図1. 2026年3月、侵害済み送信者を利用してウクライナの組織を標的としたTA458のおとりメール
TA458は、この種の脆弱性を悪用するために、Webメール内で適切にサニタイズされていない機能を探します。例えば、任意のJavaScriptを実行するために悪用可能なイベントハンドラーなどです。プルーフポイントは2026年3月、TA458がKerioおよびSOGo Webメールプラットフォームの脆弱性を悪用していることを発見し、その内容を各ベンダーへ報告しました。Kerio Webメール製品については、対象製品が非常に古くサポート対象外であったため、CVEは発番されませんでした。
図2. SOGo Webメールのゼロデイエクスプロイト（CVE-2026-8496）
これまでに、プルーフポイントはTA458が以下のWebメール脆弱性を悪用していることを確認しています。
- CVE-2025-27915：Zimbra（ゼロデイ）
- CVE-2025-3929：mDaemon（ゼロデイ）
- CVE-2023-43770：Roundcube（Nデイ）
- CVE-2024-42009：Roundcube（Nデイ）
- CVE-2026-8496：SOGo（ゼロデイ）
2026年2月以降、SpyPressマルウェアはJavaScript難読化ツール「Obfuscator IO」のカスタマイズ版を使用しています。このマルウェアは、展開先となるWebメールに応じて機能が異なります。しかし、標的にかかわらず、その中核となる機能は一貫しており、認証情報、連絡先、メールの窃取を目的としています。
図3. SpyPressマルウェアにおけるカスタマイズ版Obfuscator IOの利用
Roundcubeにおける長期アクセスへの移行
TA458は少なくとも2025年7月以降、Roundcube向けSpyPressから情報窃取機能を削除し、その代わりにインタラクティブなバックドア機能を追加することで、Roundcube環境への長期的なアクセスを可能にするよう変更しました。SpyPressは、Roundcubeのファイルアップロード処理を悪用して安全でないPHPデシリアライズを引き起こす2つ目のRoundcubeエクスプロイト（CVE-2025-49113）を使用します。このデシリアライズにより、SpyPressはCrypt_GPG_Engineをガジェットとして利用し、攻撃者が制御する入力を設定ファイル引数としてシステムのGPGバイナリに渡すことで、任意のコードを実行できるようになります。
図4. SpyPressペイロードにおけるRoundcubeのデシリアライズ機能
SpyPressは、このエクスプロイトを利用して6種類の異なるバックドアまたは永続化メカニズムをインストールしようとします。これらは、少なくとも1つのバックドア手法がサーバー上で利用可能となるよう、一連のフォールバックとして実装されていると考えられます。永続化メカニズムは以下のとおりです。
- PHPのfsockopen()を使用して、TA458のC&Cサーバーへリバースシェルを確立する
- bash -i >& /dev/tcp/ を使用して、同じC&CサーバーへリバースBashシェルを確立する
- PHPのget_file_contentsを使用して、同じC&Cサーバーでホストされているドメインからコンテンツを取得する
- Pythonのrequests.getを使用して、そのドメインからコンテンツを取得する
- curl -kを使用して、そのドメインからコンテンツを取得する
- 以下のパスにシンプルなPHP Webシェルを設置する
- program/js/list.js.php
- program/resources/blank.gif.php
- plugins/password/password.js.php
- program/actions/mail/get.php.php
TA458のC&Cサーバーへ接続する各コマンドでは、それぞれ固有のURIパスが使用されており、攻撃者は実行された処理の内容を識別できるようになっています。
攻撃主体の特定
プルーフポイントは、TA458がロシア軍参謀本部情報総局（GRU）の指揮下にあるロシア軍情報機関の作戦である可能性が高いと評価しています。本稿執筆時点では、プルーフポイントのテレメトリにおいて、TA458と、GRU第26165部隊に帰属するとされるTA422（Sofacy、APT28、Fancy Bear、Forest Blizzard）との間に標的の重複は確認されていません。
2025年4月、フランスのサイバーセキュリティ機関ANSSIは、フランスを標的としたTA422の活動について幅広い背景情報をまとめた文書を公開しました。この公開にあわせて、フランス欧州・外務省はプレスリリースを発表し、GRUの別の部隊である20728部隊にも言及しています。プルーフポイントが保有するデータでは、TA458とTA422はTTPおよび標的が明確に異なっており、さらにフランス政府がこれまでほとんど知られていなかった部隊をプレスリリースで公表したことから、TA458が20728部隊と関連している可能性があります。ただし、本稿執筆時点ではこの仮説を裏付ける十分なデータはなく、26165部隊以外のGRU部隊による活動である可能性がある、という評価にとどまります。
標的
プルーフポイントは、TA458が引き続きウクライナ政府機関を標的としているほか、アルバニア、ギリシャ、モルドバ、トルコの東欧地域における軍事・政府機関も攻撃対象としていることを確認しています。また、例外的に化学、通信、テクノロジー企業も標的となっています。TA458が特定のWebメールプラットフォームを利用する組織を特定した後に新たなエクスプロイト能力を獲得しているのか、それとも利用可能なエクスプロイトに応じて標的を選定しているのかは明らかではありません。
本記事で説明した活動から、TA458は高い能力を持つ攻撃者であることがうかがえますが、一方で、標的ユーザーに対する事前偵察を実施していなかった事例や、標的としたWebメールサーバーを実際には利用していない組織へエクスプロイトメールを送信していた事例も複数確認されています。
今後の見通し
大規模言語モデル（LLM）の活用により、TA458をはじめとする同様の攻撃手法を用いる脅威アクターは、短期的には脆弱性を発見するスピードをさらに加速させる可能性があります。一方で、Webメールベンダー側もコードベースの脆弱性を発見・修正する能力を高めているため、長期的には利用可能な攻撃対象領域が縮小し、ハーフクリックという攻撃手法全体の有効性は低下していくと考えられます。TA458は、この変化に伴って、より知名度の低いWebメール製品を標的とし続ける可能性がありますが、こうしたエクスプロイト手法が順次封じられるにつれ、最終的にはメールボックスそのものを狙う別の攻撃手法へ移行するとみられます。
ET ルール
2071250 - ET MALWARE JS SpyPress C2 Beacon
2071251 - ET MALWARE JS SpyPress C2 Success Callback (PHP)
2071252 - ET MALWARE JS SpyPress C2 Success Callback (Python)
2071253 - ET MALWARE JS SpyPress C2 Success Callback (cURL)
2071254 - ET MALWARE JS SpyPress Dropped Webshell Inbound Request (list.js.php)
2071255 - ET MALWARE JS SpyPress Dropped Webshell Inbound Request (blank.gif.php)
2071256 - ET MALWARE JS SpyPress Dropped Webshell Inbound Request (password.js.php)
2071257 - ET MALWARE JS SpyPress Dropped Webshell Inbound Request (get.php.php)
2865231 - ETPRO WEB_SERVER Zimbra Collaboration (ZCS) Suite Cross-site Scripting (CVE-2025-27915)
2865595 - ETPRO EXPLOIT MDaemon Email Server XSS via img Tag (CVE-2025-3929)
2051827 - ET EXPLOIT RoundCube Webmail Persistent XSS Attempt (CVE-2023-43770)
2066621 - ET WEB_SPECIFIC_APPS Roundcube Webmail Cross-Site Scripting (CVE-2024-42009)
2867176 - ETPRO WEB_SPECIFIC_APPS Roundcube Webmail Cross-Site Scripting M2 (CVE-2024-42009)
Indicators
|
Indicator |
Type |
Description |
First Seen |
|
share-ya[.]space |
Domain |
SpyPress C&C |
May 2025 |
|
xwe[.]us |
Domain |
SpyPress C&C |
June 2025 |
|
hgmydr[.]wiki |
Domain |
SpyPress C&C |
March 2026 |
|
xsza[.]net |
Domain |
SpyPress C&C |
February 2026 |
|
zxzaq[.]com |
Domain |
SpyPress C&C |
February 2026 |
|
upgybj[.]store |
Domain |
SpyPress C&C |
February 2026 |
|
625e4c166c7a1d5a1becf56b27d4f76a2f95935cbd8d556c30a493263d10dbf8 |
SHA256 |
Exploit-laden email (CVE-2023-43770 - Roundcube) |
May 2024 |
|
a0c80cab70d6672b01710a70f93311fc1c1db2fbbf9cd6daa543c34b87e3444a |
SHA256 |
Exploit-laden email (CVE-2025-27915 - Zimbra) |
January 2025 |
|
fb8ec4dbed14c0a91361abd82ebe9fb083615c3dbb15348f57317af7cc41dd34 |
SHA256 |
Exploit-laden email (CVE-2025-27915 - Zimbra) |
January 2025 |
|
3a449148a0e3cac604fb93210dd7d91ccf48e06ed9aae064bc53a419a84ce9ba |
SHA256 |
Exploit-laden email (CVE-2024-42009 - Roundcube) |
January 2025 |
|
8b5a4dc237a4c89042176bc89864a4c357dcdd14fa544fe6496ccb6c31cd5b7f |
SHA256 |
Exploit-laden email (CVE-2025-3929 - mDaemon) |
April 2025 |
|
6b2c02bf82087a3ca5fb7ef8046554ff29ce85d52202bdcfae2b2653aede139a |
SHA256 |
Exploit-laden email (CVE-2024-42900 + CVE-2025-49113 - Roundcube) |
March 2026 |
|
e27d1bf82249002a66395c89dbda6ec5d8df012a84b79d36fffbbf7808d28878 |
SHA256 |
Exploit-laden email (CVE-2026- 8496, SOGo) |
March 2026 |