Une campagne liée à la Russie a exploité des e-mails Zimbra avec une technique d’infection sans clic

Un groupe de cyberespionnage lié à la Russie cible depuis au moins un an des organisations gouvernementales et commerciales en exploitant une vulnérabilité de la plateforme de messagerie web Zimbra. La campagne peut compromettre un utilisateur lorsqu’un message malveillant est consulté, sans que le destinataire ait besoin de cliquer sur un lien ou d’ouvrir une pièce jointe.

Cette activité a été détaillée dans une alerte conjointe publiée par 27 agences américaines, britanniques et internationales. Ces agences attribuent les intrusions à Laundry Bear, également connu sous le nom de Void Blizzard, et estiment que l’opération vise à obtenir des informations sensibles pour le compte du gouvernement russe. Le groupe semble principalement chercher à dérober des données de messagerie.

Exploitation d’une faille XSS dans Zimbra

Les attaquants ont exploité la vulnérabilité CVE-2025-66376, une faille de type cross-site scripting dans Zimbra Collaboration Suite. Zimbra a corrigé cette faille en novembre 2025, bien que la campagne aurait commencé à l’exploiter en juillet de la même année.

Les attaquants ont envoyé à des organisations de secteurs tels que la défense, les administrations publiques, l’éducation, l’énergie, les forces de l’ordre, les médias, les technologies et les organisations non gouvernementales des messages HTML spécialement conçus, contenant du code JavaScript malveillant. Lorsqu’il était interprété par le client web Zimbra, ce contenu pouvait déclencher l’attaque par la simple consultation de l’e-mail.

Selon l’avis, les compromissions réussies ont permis de dérober jusqu’à 90 jours d’e-mails, les carnets d’adresses et les annuaires globaux, les identifiants de compte, les jetons d’authentification à deux facteurs ainsi que les mots de passe d’application récemment générés. Les attaquants ont ensuite utilisé ces informations pour maintenir leur accès, modifier les paramètres des boîtes aux lettres et recueillir d’autres données d’authentification.

Recommandations d’atténuation et d’enquête

Les informations dérobées auraient été transférées vers un serveur privé virtuel anonymisant à l’aide de Flowerbed, un framework de collecte basé sur Python et déployé avec Docker. Les agences ont indiqué que ce code relativement simple présente des signes laissant penser que l’intelligence artificielle pourrait avoir contribué à son développement.

Les organisations qui utilisent Zimbra doivent installer la mise à jour de sécurité du fournisseur et identifier les systèmes qui restent exposés à la CVE-2025-66376. Les agences ont également recommandé de limiter l’accès des employés à l’interface web Zimbra jusqu’à l’application des correctifs sur les installations vulnérables. Les équipes de sécurité doivent examiner les indicateurs de compromission figurant dans l’alerte, enquêter sur toute activité suspecte au niveau des boîtes aux lettres et envisager de réinitialiser les identifiants et les jetons d’authentification des comptes potentiellement affectés.