中国系ハッカー、Roundcubeの脆弱性悪用でIceCubeローダーを展開

RoundcubeのXSS脆弱性を悪用、学術機関へのスパイ活動を展開

中国と関連するハッカーグループUNK_MassTractionが、米国およびカナダの大学で運用されるRoundcubeサーバーの脆弱性を悪用し、学術研究者を標的としたサイバースパイ活動を展開していることが確認された。同グループは、CVE-2024-42009に割り当てられたクロスサイトスクリプティング（XSS）脆弱性を悪用し、被害者のブラウザ上でJavaScriptを実行して認証情報やセッション情報を窃取している。

攻撃は悪意のあるメールから開始され、被害者が脆弱なRoundcubeのWebメールクライアントでメールを開くと、悪性コードが自動的に実行される。その後、IceCubeローダーがRoundcubeのiframe制限を回避して認証情報やブラウザ情報を収集し、取得したセッションデータをC2サーバーへ送信する。攻撃者はこれを足掛かりとしてリモートコード実行やインメモリバックドアを展開し、SquareShell WebシェルやGo製バックドアVShellを配布することで侵害を拡大する。

調査では、攻撃インフラやマルウェアの共通点から、中国系脅威グループとの関連性が指摘されている。標的には天文学や素粒子物理学など、安全保障に関わる研究分野の学術機関が含まれており、研究データの窃取を目的としたスパイ活動とみられる。

影響を受ける組織は、CVE-2024-42009およびCVE-2025-49113の修正プログラムを速やかに適用するとともに、不審なメールやWebメールへのアクセス、認証情報の窃取につながる挙動を継続的に監視することが重要だ。Proofpointは政府機関や業界パートナーと連携して対応を進めており、組織にも継続的な監視体制の強化が求められている。