Una campagna legata alla Russia ha sfruttato le email di Zimbra con una tecnica d’infezione senza clic

Un gruppo di ciber-spionaggio legato alla Russia ha preso di mira organizzazioni governative e commerciali per almeno un anno, sfruttando una vulnerabilità nella piattaforma webmail di Zimbra. La campagna può compromettere un utente quando viene visualizzato un messaggio dannoso, senza che il destinatario debba fare clic su un link o aprire un allegato.

L’attività è stata descritta in un avviso congiunto emesso da 27 agenzie statunitensi, britanniche e di altri Paesi. Le agenzie attribuiscono le intrusioni a Laundry Bear, noto anche come Void Blizzard, e ritengono che l’operazione sia finalizzata a ottenere informazioni sensibili per il governo russo. Il gruppo sembra concentrarsi principalmente sul furto di dati dalle email.

Sfruttamento di una vulnerabilità XSS di Zimbra

Gli attaccanti hanno sfruttato la CVE-2025-66376, una vulnerabilità di cross-site scripting nella Zimbra Collaboration Suite. Zimbra ha corretto la vulnerabilità nel novembre 2025, sebbene secondo quanto riferito la campagna abbia iniziato a sfruttarla nel luglio dello stesso anno.

Gli attaccanti hanno inviato alle organizzazioni messaggi HTML appositamente creati, contenenti JavaScript dannoso, nei settori della difesa, del governo, dell’istruzione, dell’energia, delle forze dell’ordine, dei media, della tecnologia e delle organizzazioni non governative. Quando il contenuto veniva elaborato dal client web di Zimbra, l’attacco poteva attivarsi semplicemente visualizzando l’email.

Secondo l’avviso, le compromissioni riuscite hanno consentito il furto di fino a 90 giorni di email, rubriche e directory globali, credenziali degli account, token di autenticazione a due fattori e password applicative appena generate. Gli attaccanti hanno quindi utilizzato queste informazioni per mantenere l’accesso, modificare le impostazioni delle caselle di posta e raccogliere ulteriori dati di autenticazione.

Indicazioni per la mitigazione e le indagini

Secondo quanto riferito, le informazioni rubate sono state trasferite a un server privato virtuale anonimizzante tramite Flowerbed, un framework di raccolta basato su Python e implementato con Docker. Le agenzie hanno dichiarato che il codice, relativamente semplice, presenta segnali che indicano un possibile contributo dell’intelligenza artificiale al suo sviluppo.

Le organizzazioni che utilizzano Zimbra dovrebbero applicare l’aggiornamento di sicurezza del fornitore e identificare i sistemi ancora esposti alla CVE-2025-66376. Le agenzie hanno inoltre consigliato di limitare l’accesso dei dipendenti all’interfaccia web di Zimbra finché le installazioni vulnerabili non saranno corrette. I team di sicurezza dovrebbero esaminare gli indicatori di compromissione riportati nell’avviso, indagare sulle attività sospette nelle caselle di posta e valutare la reimpostazione delle credenziali e dei token di autenticazione degli account potenzialmente interessati.