【要約】Kremlin hackers are exploiting Exchange flaw to backdoor unpatched networks [Ars_Technica] | Summary by TechDistill
> Source: Ars_Technica
Execute Primary Source
// Problem
攻撃グループTA488は、Exchange Serverの脆弱性を突いてネットワークへ侵入している。彼らは未修正のシステムに対し、以下の深刻な問題を引き起こす。
- ・CVE-2026-42897（XSS）による不正なJavaScriptの実行。
- ・メールを開くだけで感染が成立する「ハーフクリック」攻撃。
- ・端末の再イメージングやパスワード変更でも排除できない持続的なアクセス権の獲得。
// Approach
攻撃者は「OWAReaper」と呼ばれる、ブラウザベースの高度なインプラントを使用する。この手法は、OWA（Outlook Web Access）の動作を巧妙に悪用している。
- ・XSSを通じて、OWAの閲覧ペイン内でJavaScriptを実行する。
- ・Outlook APIを用いてメールを書き換え、攻撃の痕跡を消去する。
- ・不可視のDOM要素を配置し、ブラウザの自動入力機能から認証情報を奪う。
- ・localStorageの特定のキーに暗号化されたペイロードを保存し、同期プロセスで再実行させる。
// Result
この攻撃により、攻撃者は被害者のメールボックスへ完全なアクセス権を得る。被害組織は、以下の事態に直面する可能性がある。
- ・OAuthトークンの窃取による、ネットワーク内での広範な権限奪取。
- ・従来の端末管理手法では対処できない、サーバーサイドに近い持続的な侵入。
- ・対策として、Exchange Web Servicesトークンの監査や、特定のlocalStorageキーの削除が求められる。
Senior Engineer Insight
> これはインシデント対応の常識を覆す脅威だ。端末の初期化やパスワード変更が通用しない。攻撃の拠点は、エンドポイントではなくブラウザのストレージにある。従来のEDRによる検知や、端末の再イメージングといった標準的な防御策は無力だ。アプリケーション層の整合性と、セッション管理の徹底が不可欠である。ブラウザのストレージ管理も、セキュリティ監視の対象に含めるべきだ。