Russlandnahe Kampagne nutzte Zimbra-E-Mails für Infektion ohne Klick

Eine russlandnahe Cyber-Spionagegruppe hat seit mindestens einem Jahr staatliche und kommerzielle Organisationen angegriffen, indem sie eine Schwachstelle in der Webmail-Plattform Zimbra ausnutzte. Die Kampagne kann einen Benutzer kompromittieren, sobald eine bösartige Nachricht angezeigt wird, ohne dass der Empfänger auf einen Link klicken oder einen Anhang öffnen muss.

Die Aktivitäten wurden in einer gemeinsamen Warnung von 27 US-amerikanischen, britischen und weiteren internationalen Behörden beschrieben. Die Behörden schreiben die Eindringversuche Laundry Bear, auch bekannt als Void Blizzard, zu und bewerten die Operation als Versuch, im Auftrag der russischen Regierung an sensible Informationen zu gelangen. Der Schwerpunkt der Gruppe scheint auf dem Diebstahl von E-Mail-Daten zu liegen.

Ausnutzung einer XSS-Schwachstelle in Zimbra

Die Angreifer missbrauchten CVE-2025-66376, eine Cross-Site-Scripting-Schwachstelle in der Zimbra Collaboration Suite. Zimbra behob die Schwachstelle im November 2025, obwohl die Kampagne sie Berichten zufolge bereits im Juli desselben Jahres auszunutzen begann.

Die Angreifer sendeten speziell gestaltete HTML-Nachrichten mit bösartigem JavaScript an Organisationen aus Bereichen wie Verteidigung, Regierung, Bildung, Energie, Strafverfolgung, Medien, Technologie und Nichtregierungsorganisationen. Bei der Darstellung durch den Zimbra-Webclient konnte der Inhalt den Angriff allein durch das Anzeigen der E-Mail auslösen.

Der Warnung zufolge ermöglichten erfolgreiche Kompromittierungen den Diebstahl von bis zu 90 Tagen E-Mail-Daten, Adressbüchern und globalen Verzeichnissen, Zugangsdaten, Zwei-Faktor-Authentifizierungstoken sowie neu generierten Anwendungspasswörtern. Anschließend nutzten die Angreifer die Informationen, um den Zugriff aufrechtzuerhalten, Postfacheinstellungen zu ändern und weitere Authentifizierungsdaten zu sammeln.

Hinweise zur Eindämmung und Untersuchung

Die gestohlenen Informationen wurden Berichten zufolge über einen anonymisierenden virtuellen privaten Server mithilfe von Flowerbed übertragen, einem Python-basierten, mit Docker bereitgestellten Framework zur Datensammlung. Die Behörden erklärten, der vergleichsweise einfache Code enthalte Anzeichen dafür, dass künstliche Intelligenz zu seiner Entwicklung beigetragen haben könnte.

Organisationen, die Zimbra einsetzen, sollten das Sicherheitsupdate des Anbieters installieren und Systeme identifizieren, die weiterhin durch CVE-2025-66376 gefährdet sind. Die Behörden rieten außerdem, den Zugriff von Mitarbeitern auf die Zimbra-Weboberfläche einzuschränken, bis verwundbare Installationen gepatcht sind. Sicherheitsteams sollten die in der Warnung genannten Kompromittierungsindikatoren prüfen, verdächtige Aktivitäten in Postfächern untersuchen und erwägen, Zugangsdaten und Authentifizierungstoken potenziell betroffener Konten zurückzusetzen.