中国系とみられるハッカー集団、米国の大学を標的にRoundcubeの脆弱性を悪用したサイバー攻撃を実行

要点

• 中国系とみられる新たな脅威アクター「UNK_MassTraction」が、米国やカナダの大学の物理学・工学部門を標的に活動していることが判明しました。

• 攻撃はオープンソースのWebメール「Roundcube」の脆弱性を悪用し、メールを開くだけで資格情報や2要素認証情報を盗み出します。

• 侵入後はウェブシェル「SquareShell」などを展開し、メールサーバーを踏み台にしてネットワーク深部へのアクセス権獲得を試みます。

• 使用ツールの一部は他の中国系ハッカー集団との共通性が見られますが、現時点で既知のアクターとの直接的な関連性は確認されていません。

• セキュリティ企業の米Proofpointは2026年7月7日、中国系と提携しているとみられる新たな脅威アクティビティクラスター「UNK_MassTraction」が、米国およびカナダの大学の物理学・工学部門を標的としたサイバー攻撃を展開していることを明らかにした。同社が公表した調査結果によると、このグループはオープンソースのWebメールソフトウェア「Roundcube（ラウンドキューブ）」の脆弱性を悪用し、教職員や管理者の資格情報を窃取しているという。この活動は2026年5月に初めて検出され、特に国家安全保障と結びつきのある部門や、宇宙物理学・素粒子物理学を研究する学術機関に焦点が当てられている。

• 攻撃者は、標的がRoundcubeの古いバージョンを運用していることを事前に偵察した上で、フィッシングメールを送信していたとみられる。メールの送信には、乗っ取られた正規の送信元アドレスが使われたほか、DMARC（送信元のドメインが偽装されていないかを検証する電子メール認証技術）の設定が甘く、なりすましに対して脆弱なドメインが悪用されていた。

• 被害者がRoundcube上でメールを開くと、クロスサイトスクリプティング（Webページに悪意あるスクリプトを挿入して実行させる脆弱性、以下XSS）の脆弱性である「CVE-2024-42009」（CVSSスコア 9.3）が引き起こされる。これにより、ユーザーのブラウザ上で自動的に任意のJavaScriptコードが実行される仕組みとなっている。

• このXSS脆弱性を通じて送り込まれるペイロード（悪意ある活動を実行するために送信されるプログラムの本体）は「IceCube（アイスキューブ）」と呼ばれ、ブラウザ内に保存された資格情報やCookie、2要素認証（2FA）のデータを収集する。同時に、ブラウザの言語設定、画面サイズ、入力フィールドの値などを調べる偵察活動も行う。

• 収集されたデータはHTTP POSTリクエストを介して外部システムへ送信される。さらにIceCubeは、セッションのCSRF（Webブラウザのセッションを利用して意図しない操作を強制実行させる攻撃、以下CSRF）トークンを利用し、Roundcubeのもう一つの重大な脆弱性である「CVE-2025-49113」（CVSSスコア 9.9）を実行する。これは認証後のリモートコード実行（遠隔からシステム上で任意のコマンドを実行できる脆弱性、以下RCE）を可能にするもので、アクターはこれを用いてメールサーバーへの足がかりを得る。

• サーバーへの侵入に成功すると、メモリ上に遠隔操作用のウェブシェル（サーバーを遠隔操作するために設置されるプログラム）「SquareShell（スクエアシェル）」や、ポストエクスプロイテーション（侵入後にさらなる制御を行うためのツール）である「VShell（ブイシェル）」が展開される。SquareShellはPHPのガジェットシェルコマンドを用いて展開され、特定のプラグインファイル「plugins/newmail_notifier/mail_preview.php」を通じて外部からの任意コード実行を可能にする。

• もしSquareShellの展開に失敗した場合は予備の手法に移行する。この予備メカニズムは2026年6月に導入されたもので、シェルスクリプトを実行して「SNOWLIGHT（スノーライト）」と呼ばれるELFローダー（Linuxなどのシステムで実行ファイルを読み込み実行するプログラム）をダウンロードし、最終的にVShellを配信する。

• Proofpointのリサーチャーであるグレッグ・レズニューイッチ氏とマーク・ケリー氏は、「攻撃者はRoundcubeサーバーを標的ネットワークに侵入するための踏み台として悪用しており、検知を避けるために感染チェーンを意図的に作り込んでいる」と述べている。IceCubeには「遅延トリガー（deferred triggers）」が設定されており、ユーザーがページを閉じる、タブを切り替える、あるいはマウスをブラウザウィンドウの外に出すなどの動きを検知してログアウト処理をハイジャックし、感染状態を維持しようとする。

• なお、今回の攻撃で確認されたSNOWLIGHTやVShellは、別の中国関連ハッカー集団「UNC5174」によっても過去に使用されていた。しかし、Proofpointのレズニューイッチ氏は「現時点でUNK_MassTractionとUNC5174などを直接結びつけるデータはない」としており、これらのツールが複数の中国系ハッカー集団の間で非公式に共有されている可能性を指摘している。