Vereinigtes Königreich und Verbündete warnen vor russisch unterstützten „Zero-Click“-Angriffen auf westliche E-Mail-Systeme

Das britische National Cyber Security Centre (NCSC) und Cybersicherheitsbehörden aus 15 Partnerländern warnen, dass eine von Russland unterstützte Bedrohungsgruppe eine „Zero-Click“-Phishing-Technik verwendet, um E-Mail-Daten westlicher Organisationen zu stehlen.

Die Kampagne wird LAUNDRY BEAR zugeschrieben, einer Advanced-Persistent-Threat-Gruppe, die mit der verdeckten Sammlung von E-Mails in Verbindung steht. Laut der gemeinsamen Warnung begann die Aktivität im Juli 2025 und umfasste die Kompromittierung von Organisationen, die die Zimbra Collaboration Suite (ZCS) einsetzen, eine weit verbreitete E-Mail- und Kollaborationsplattform.

Zu den Opfern in den Vereinigten Staaten gehörten Organisationen aus den Bereichen Verteidigung, Regierung, Bildung, Energie, Strafverfolgung, Medien, Technologie und dem Non-Profit-Sektor. Die Behörden erklärten, die Kampagne stehe im Einklang mit Spionageaktivitäten und werde mit an Sicherheit grenzender Wahrscheinlichkeit von russischer staatlicher Unterstützung getragen.

Ein anderes Phishing-Modell

Die als „Beehive“ oder „Ulej“ bezeichnete Technik setzt weder voraus, dass ein Opfer auf einen Link klickt, einen Anhang öffnet oder anderweitig mit einer Nachricht interagiert. Stattdessen kann bereits das Anzeigen einer schädlichen E-Mail über eine verwundbare Version des ZCS-Webmail-Dienstes ausreichen, um die Kompromittierung auszulösen.

Sobald der Zugriff erlangt wurde, können die Angreifer einen umfassenden und dauerhaften Zugriff auf E-Mail-Konten aufrechterhalten und sensible Informationen sammeln. Die Warnung weist darauf hin, dass die Methode angepasst werden könnte, um weitere Schwachstellen und E-Mail-Plattformen auszunutzen, während Organisationen betroffene ZCS-Installationen aktualisieren.

Hinweise zur Eindämmung

Organisationen, die ZCS einsetzen, werden aufgefordert, verfügbare Sicherheitsupdates umgehend zu installieren, die technischen Indikatoren der Warnung zu prüfen und die Überwachung auf ungewöhnliche Netzwerk- und Kontoaktivitäten zu verstärken. Das NCSC empfiehlt britischen Organisationen außerdem, sich für seinen kostenlosen Early-Warning-Dienst anzumelden, der Benachrichtigungen über potenziell schädliche Aktivitäten in ihren Netzwerken bereitstellt.

Internationale Partner erklärten, die technische Analyse deute darauf hin, dass die Angreifer die Techniken vor ihrem Einsatz gegen Organisationen in NATO-Ländern umfangreich an ukrainischen Zielen getestet hätten. Analysten fanden außerdem Hinweise darauf, dass künstliche Intelligenz bei der Entwicklung von Teilen der vergleichsweise einfachen Codebasis der Operation geholfen haben könnte.

Die Warnung wurde gemeinsam von Behörden im Vereinigten Königreich, in Australien, Kanada, der Tschechischen Republik, Dänemark, Estland, Finnland, Frankreich, Italien, Moldau, Polen, Spanien, Schweden, den Niederlanden, Neuseeland und den Vereinigten Staaten herausgegeben. Die Behörden forderten Organisationen auf, den Vorfall als Warnung dafür zu betrachten, dass feindliche Gruppen ihre Phishing-Methoden anpassen, um vertrauenswürdige Unternehmenssoftware auszunutzen und die erforderliche Interaktion der Nutzer zu reduzieren.