LAUNDRY BEAR atacă Zimbra fără niciun click: ce trebuie să știe organizațiile despre CVE-2025-66376
O alertă comună din 23 iulie descrie atacul LAUNDRY BEAR asupra Zimbra: compromitere la simpla afișare a e-mailului, furt de date și persistență.
National Cyber Security Centre din Regatul Unit și autorități de securitate cibernetică din 15 țări au publicat pe 23 iulie 2026 o alertă comună despre LAUNDRY BEAR, un grup asociat statului rus. Campania vizează organizații occidentale care folosesc Zimbra Collaboration Suite (ZCS) și transformă un gest aparent pasiv — simpla afișare a unui e-mail în versiunea vulnerabilă de webmail — într-un punct de compromitere.
Ce este vulnerabilitatea CVE-2025-66376
Campania exploatează CVE-2025-66376, o vulnerabilitate de tip cross-site scripting (XSS) în procesarea conținutului e-mailurilor de către Zimbra. Potrivit alertei comune, sanitizarea necorespunzătoare a directivelor CSS @import permite executarea unui payload JavaScript inclus în mesaj. Vulnerabilitatea a fost remediată de producător în noiembrie 2025, însă actorii au folosit-o încă din iulie 2025, când era un zero-day.
Capabilitatea folosită în operațiune este numită „Ulej” sau „beehive”. Payload-ul este ascuns într-un element SVG, codificat Base64 și criptat simplu prin XOR, apoi rulează în contextul sesiunii webmail. Alerta arată că variațiile payload-ului pot ocoli semnături de detecție prea rigide, ceea ce face insuficientă apărarea bazată exclusiv pe un indicator static.
Ce date încearcă să fure atacatorii
- Mesajele de e-mail din ultimele 90 de zile și metadatele asociate contului.
- Lista globală de adrese a organizației (Global Address List), utilă pentru cartografierea altor ținte.
- Adresa de e-mail, parole salvate prin funcția de autocomplete și alte date de autentificare accesibile în sesiune.
- Coduri de rezervă pentru autentificarea cu doi factori și informații despre dispozitive.
- Un nou Application Passcode denumit „ZimbraWeb”, creat pentru a menține accesul prin protocoale care nu folosesc fluxul normal 2FA.
Scriptul încearcă și activarea IMAP, ceea ce poate oferi acces persistent la căsuța poștală după compromiterea inițială. Infrastructura de colectare descrisă în raport, numită „Flowerbed”, primește datele exfiltrate prin canale HTTPS și DNS și folosește servere virtuale schimbate periodic.
Cine a fost vizat și de ce contează pentru Europa
Autoritățile indică ținte din apărare, administrație publică, educație, energie, ordine publică, presă, organizații neguvernamentale și tehnologie. Evaluarea comună este că operațiunea urmărește spionajul și colectarea discretă de informații pentru Federația Rusă, nu extorcarea financiară. Tehnica a fost testată extensiv împotriva victimelor din Ucraina înainte de utilizarea împotriva unor organizații din state NATO.
Alerta este relevantă și pentru organizațiile care nu folosesc Zimbra. Agențiile avertizează că metoda „view-based” poate fi adaptată la alte vulnerabilități și alte platforme de e-mail. Lecția de fond este că protecția e-mailului nu poate depinde doar de capacitatea utilizatorului de a recunoaște și evita un link malițios.
Acțiuni imediate pentru organizațiile care folosesc Zimbra
- Verifică versiunea ZCS și aplică imediat actualizările producătorului care remediază CVE-2025-66376.
- Caută în /opt/zimbra/log/mailbox.log volume neobișnuite de cereri SOAP, inclusiv SearchGalRequest, CreateAppSpecificPasswordRequest și GetScratchCodesRequest.
- Investighează orice Application Passcode denumit „ZimbraWeb”; alerta comună îl consideră un indicator puternic al acestei campanii.
- Caută în localStorage intrări cu formatul zd_comp_YYYY-MM-DD, folosite de payload pentru a urmări zilele deja exfiltrate.
- Dacă identifici compromiterea, revocă toate Application Passcodes și codurile 2FA de rezervă, resetează credențialele și stabilește întinderea datelor exfiltrate.
- Păstrează dovezile, izolează mesajele cu payload similar și monitorizează accesul IMAP, schimbările de preferințe și conexiunile către infrastructură necunoscută.
Ce se schimbă în trainingul de securitate
Un program de awareness rămâne util, dar mesajul trebuie calibrat corect: nu toate incidentele pot fi prevenite prin „nu da click”. Oamenii trebuie să știe să raporteze mesaje sau comportamente neobișnuite fără teamă de culpabilizare, iar echipele tehnice trebuie să trateze securitatea platformei, patching-ul și investigația ca responsabilități complementare.
Pentru management, întrebarea corectă este dacă organizația poate identifica rapid serverele de e-mail expuse, poate aplica o remediere în regim de urgență și poate determina ce date au părăsit sistemul. Campania LAUNDRY BEAR arată că timpul dintre vulnerabilitate și acces persistent trebuie gestionat prin procese exersate, nu prin reacții improvizate.