ハッカーがRoundcubeの脆弱性を悪用し、学術研究者を監視している

中国と関連があるとされる脅威グループが、米国およびカナダの大学にある脆弱なRoundcubeサーバーを悪用し、認証情報を盗み出し、バックドア型マルウェアを仕込んでいる。

この攻撃キャンペーンは5月から確認されており、物理学や工学の学部、管理者や教授、さらには天体物理学、素粒子物理学、あるいは国家安全保障関連の研究に携わる組織を標的としている。

サイバーセキュリティ企業Proofpointの研究者らは、この活動を「UNK_MassTraction」という名称で追跡しており、新たな脅威グループと関連しているものと見ている。

攻撃は、乗っ取られたアカウントやなりすましドメインから、ありふれた手口を用いた悪意のあるメールが送信されることから始まります。

脆弱性のあるRoundcubeウェブメールクライアントでこのメールを開くと、CVE-2024-42009として追跡されているクロスサイトスクリプティング（XSS）の脆弱性が悪用され、被害者のブラウザ内でJavaScriptコードが実行され、「IceCube」と呼ばれるペイロードが読み込まれます。

研究者によると、IceCubeは「フル機能を備えたRoundcube情報窃取型マルウェア」であり、ユーザー名、パスワード、クッキー、二要素認証（2FA）データ、およびブラウザ情報を収集することができる。

Proofpointによると、このマルウェアは「ヘルパー」を使用して、CVE-2025-49113として追跡されているRoundcubeの逆シリアライズ脆弱性を悪用し、リモートコード実行機能を備えたPHPウェブシェル「SquareShell」のインストールを試みます。

攻撃が成功すると、攻撃者はメールサーバー上でリモートコード実行権限を獲得する。失敗した場合は、マルウェアがシェルスクリプトをダウンロードし、別のペイロードである「VShell」をメモリ上に直接読み込む。

VShellは、対話型シェルアクセスとポートフォワーディングをサポートする、Go言語ベースの汎用バックドアであり、中国の脅威アクターによって一般的に使用されています。

いくつかの観察結果に基づき、Proofpoint は UNK_MassTraction が中国と結びついたスパイ活動主体である可能性が高いと評価しています。

第一に、攻撃に使用されたインフラは、以前、中国と関連のある複数のアクターに関連付けられていた秘密の VPS ネットワークと重複しています。もう一つの手がかりは、初期のフィッシングメールに中国語の痕跡が見られたことです。

最後に、内部ネットワークにアクセスするための足掛かりとして、インターネットに公開されているメールサーバーを標的とする戦術は、中国の攻撃の特徴である。

これらすべてを考慮した上で、Proofpointは、今回の帰属判断はあくまで評価に過ぎず、決して確信度の高いものではないことを強調している。

このキャンペーンの具体的な標的選定に関する興味深い発見として、UNK_MassTractionは、以前にCVE-2024-42009およびCVE-2025-49113に対して脆弱であると見なされていたサーバーを選定していたようであり、攻撃に先立って何らかの偵察が行われていたことが示唆される。

Roundcubeシステムの管理者は、これら2つの脆弱性に対処する最新のセキュリティ更新プログラムを適用し、VPNやその他のリモートアクセスノードと同様に、メールサーバーにも細心の注意を払うことが推奨されます。