Egy orosz állami támogatással működő fenyegetési csoport korábban ismeretlen Zimbra Collaboration Suite sérülékenységet használt fel arra, hogy észrevétlenül e-maileket, jelszavakat, kétfaktoros hitelesítési kódokat és vállalati címjegyzékeket lopjon nyugati kormányzati és kereskedelmi szervezetektől.
A kampányt elsősorban Laundry Bear néven ismert fenyegetési csoporthoz kötik, és legalább 2025 júliusa óta aktív. A művelet technikai szempontból jelentős előrelépést jelent a csoport korábbi támadásaihoz képest.
A legfontosabb különbség, hogy a támadás nem igényli, hogy az áldozat:
- rosszindulatú linkre kattintson;
- mellékletet töltsön le;
- jelszót adjon meg hamis oldalon;
- makrót engedélyezzen.
A rosszindulatú kód akkor is végrehajtódhat, ha a célpont egyszerűen megnyit egy speciálisan kialakított e-mailt a Zimbra sérülékeny webmailfelületén.
Több mint húsz ország biztonsági szervei figyelmeztetnek
A kampány részleteit az Egyesült Államok Nemzetbiztonsági Ügynöksége, az FBI, a CISA és több mint húsz szövetséges hírszerzési és kiberbiztonsági szervezet közös riasztása ismertette.
A figyelmeztetéshez többek között az alábbi országok hatóságai csatlakoztak:
- Egyesült Királyság;
- Hollandia;
- Ausztrália;
- Kanada;
- Új-Zéland;
- Franciaország;
- Olaszország;
- Spanyolország;
- Svédország;
- Lengyelország;
- Dánia;
- Finnország;
- Észtország;
- Csehország;
- Moldova.
A részt vevő ügynökségek értékelése szerint a Laundry Bear az orosz állam érdekében végez kiberkémkedést.
A fő cél az e-mail-kommunikáció és más érzékeny adatok titkos megszerzése.
A célpontok között kormányok, védelmi cégek és kritikus infrastruktúra szerepel
A kampány több szektort érintett.
Kiemelt célpontnak számítottak:
- védelmi ipari vállalatok;
- szövetségi és helyi kormányzati szervek;
- oktatási intézmények;
- energiaipari szervezetek;
- rendvédelmi szervek;
- média;
- technológiai vállalatok;
- civil szervezetek;
- Ukrajnát támogató intézmények és vállalatok.
Az érdeklődés egyértelműen illeszkedik az orosz stratégiai hírszerzési prioritásokhoz.
A rosszindulatú e-mail megnyitásakor indul a támadás
A kampány középpontjában a CVE-2025-66376 sérülékenység áll.
Ez egy tárolt cross-site scripting, vagyis stored XSS hiba a Zimbra Collaboration Suite Classic UI komponensében.
A sérülékenység abból ered, hogy a Zimbra nem megfelelően szűri a HTML e-mailekben található CSS @import direktívákat.
A támadó ezért olyan levelet készíthet, amelyben speciálisan kialakított kód található.
Amikor az áldozat megnyitja az üzenetet, a Zimbra nem semlegesíti megfelelően a tartalmat, és a támadó által vezérelt JavaScript az éppen bejelentkezett felhasználó böngészőjében fut le.
Az áldozat hitelesített Zimbra-munkamenete válik a támadás eszközévé
Ez a rész különösen veszélyessé teszi a hibát.
A támadó JavaScriptje nem egyszerűen egy böngészőben futó idegen kód.
Az aktuális, hitelesített Zimbra-session kontextusában működik.
Ez lehetővé teheti, hogy olyan műveleteket hajtson végre, amelyekhez normál esetben a felhasználó jogosultsága szükséges.
A támadás így:
rosszindulatú e-mail → megnyitás → JavaScript végrehajtás → hitelesített Zimbra-session kihasználása
láncon működik.
Mely verziók érintettek?
A sérülékenység a Zimbra Collaboration Suite 10.x ágát érinti.
A veszélyeztetett kiadások:
- Zimbra Collaboration 10.0 a 10.0.18 előtti verziókig;
- Zimbra Collaboration 10.1 a 10.1.13 előtti verziókig.
A Zimbra 2025. november 6-án javította a hibát.
Az első javított verziók:
- 10.0.18
- 10.1.13
A kampány azonban már körülbelül 2025 júliusában megkezdődött.
Ez azt jelenti, hogy a támadók nagyjából négy hónapon keresztül úgy használták ki a sérülékenységet, hogy még nem létezett hozzá nyilvános biztonsági frissítés.
Valódi zero-day támadásról volt szó
A CVE-2025-66376 csak 2026 januárjában kapott nyilvános CVE-azonosítót.
A Laundry Bear tehát hónapokkal korábban használta a hibát.
Ez klasszikus zero-day helyzet:
- a sérülékenység nem volt nyilvánosan ismert;
- a gyártó még nem adott ki javítást;
- a támadók már aktívan kihasználták.
A CISA később, 2026. március 18-án felvette a hibát a Known Exploited Vulnerabilities katalógusba.
„Zero-click” vagy inkább „half-click”?
A támadást gyakran zero-click támadásként írják le, de technikailag az e-mailt meg kell nyitni.
Nincs szükség további kattintásra.
Az áldozatnak nem kell:
- linket megnyitnia;
- fájlt letöltenie;
- belépési adatot megadnia.
Elég az, hogy a sérülékeny Zimbra webmail megjelenítse a levelet.
Ezért egyes kutatók „half-click exploitként” hivatkoznak rá.
A védekezés szempontjából a lényeg az, hogy a hagyományos „ne kattints gyanús linkre” típusú felhasználói oktatás önmagában nem képes megállítani ezt a támadást.
Az Ulej nevű támadási keretrendszer végzi az adatlopást
A támadók egy saját fejlesztésű JavaScript-alapú komponenst használnak, amelyet a kutatók Ulej névre kereszteltek.
Az Ulej az orosz „Улей”, vagyis „méhkas” szó átírása.
A kódot egy SVG-elemen belül rejtik el az e-mailben.
A kezdeti payload Base64-kódolt, míg a fő adatgyűjtő scriptet:
- XOR titkosítás;
- majd újabb Base64-réteg
védi.
A CSS @import direktívák indítják el a CVE-2025-66376 kihasználását.
A támadás 12 különálló szakaszból áll
Az Ulej egy összetett, több lépésből álló adatlopási műveletet hajt végre.
A payload:
- jelzi a támadói infrastruktúrának, hogy elindult;
- megpróbálja azonosítani az áldozat e-mail-címét;
- információt gyűjt a Zimbra-környezetről;
- megkeresi a kétfaktoros hitelesítéshez tartozó scratch code-okat;
- létrehoz egy alkalmazásspecifikus jelszót;
- lekérdezi a regisztrált eszközöket;
- vizsgálja az OAuth-consumereket;
- megpróbál böngészőben vagy jelszókezelőben tárolt jelszavakat megszerezni;
- engedélyezheti a régi levelezési protokollokat;
- letölti a globális címjegyzéket;
- akár 90 napnyi e-mailt exportál;
- az összegyűjtött adatokat továbbítja a támadóknak.
Egy egyszerű XSS-hibából így teljes postafiók-kompromittálási képesség alakul ki.
A Zimbra SOAP API-ját használják a támadók
Az Ulej adatgyűjtő funkcióinak jelentős része a Zimbra SOAP interfészére épül.
A rosszindulatú script először megpróbálja megszerezni a böngésző local storage területéről az aktuális CSRF tokent.
Ha ez sikerül, a felhasználó aktív munkamenetét felhasználva hitelesített SOAP-kéréseket küldhet.
Ezekkel többek között:
- azonosíthatja a felhasználói fiókot;
- információt kérhet le a Zimbra-verzióról;
- regisztrált eszközöket kereshet;
- OAuth-alkalmazásokat listázhat;
- címjegyzéket exportálhat;
- beállításokat módosíthat.
Több mint 1500 kereséssel építik fel a vállalati címjegyzéket
Az Ulej a Global Address List, vagyis a szervezet globális címtárának rekonstruálására is képes.
A script minden lehetséges kétkarakteres kombinációval kereséseket indít.
A karakterkészlet tartalmaz:
- betűket;
- számokat;
- bizonyos írásjeleket.
A több mint 1500 lekérdezést 20 különálló batchbe szervezi.
Ennek eredményeként a támadók részletes képet kaphatnak:
- a szervezet alkalmazottairól;
- e-mail-címekről;
- belső kapcsolatokról;
- üzleti partnerekről;
- beszállítókról;
- külső együttműködőkről.
A címjegyzék további támadások alapja lehet
Az így megszerzett adatok nagyon értékesek.
A támadók felhasználhatják őket:
- spear-phishing kampányokhoz;
- magas értékű célpontok kiválasztásához;
- belső kapcsolati háló feltérképezéséhez;
- beszállítói láncok azonosításához;
- megszemélyesítéshez;
- következő támadási hullámok előkészítéséhez.
Egyetlen postafiók kompromittálása így több tucat vagy akár több száz új célpontot fedhet fel.
Akár 90 nap teljes levelezése letölthető
Az Ulej megpróbálja exportálni az áldozat elmúlt 90 napjának összes nem spamként kezelt e-mailjét.
Ehhez napokra bontva indít lekérdezéseket.
A Zimbra a találatokat TGZ formátumú tömörített archívumokként küldi vissza.
Az export nemcsak metaadatokat tartalmazhat.
A támadók megszerezhetik:
- teljes e-maileket;
- csatolmányokat;
- kapcsolati adatokat;
- levéltörzseket;
- beszélgetéseket.
Három hónap levelezése rendkívül érzékeny információkat fedhet fel
Egy kompromittált postafiókban három hónap alatt óriási mennyiségű érzékeny információ gyűlhet össze.
Ilyen lehet:
- kormányzati kommunikáció;
- katonai vagy védelmi beszerzés;
- műveleti tervezés;
- szerződések;
- pénzügyi információk;
- személyes adatok;
- jogi dokumentumok;
- partneri kommunikáció;
- belső biztonsági információk.
Ráadásul egy adott postaláda kompromittálása más személyek adatait is érinti, akik a célponttal leveleztek.
A malware nyomon követi, mely napokat töltötte már le
Az Ulej a böngésző local storage területén tárolja, hogy mely napok levelezését exportálta már.
Ez megakadályozza a felesleges újraletöltést.
Ha az áldozat később ismét megnyitja a rosszindulatú e-mailt, a script csak a hiányzó időszakokat tölti le.
A jelenlegi nap levelezését viszont minden végrehajtáskor újra lekérheti.
Ez azt jelenti, hogy a rosszindulatú üzenet kvázi tartós megfigyelési pontként működhet.
A kétfaktoros hitelesítést is megpróbálják megkerülni
Az Ulej nem áll meg az e-mailek ellopásánál.
A támadók hosszabb távú hozzáférést próbálnak kialakítani.
A payload lekéri a Zimbra-fiókhoz kapcsolódó 2FA scratch code-okat.
Ezek olyan tartalék hitelesítési kódok, amelyeket a felhasználó akkor használhat, ha a normál második faktor nem elérhető.
Ha a támadó megszerzi ezeket, később más eszközről is visszatérhet.
Új alkalmazásspecifikus jelszót is létrehoznak
A script egy ZimbraWeb nevű új alkalmazásspecifikus jelszót próbál létrehozni.
Az app password funkció eredetileg olyan kliensek támogatására szolgál, amelyek nem képesek modern kétfaktoros hitelesítésre.
Támadói kézben azonban ez kiváló perzisztencia-mechanizmus.
A támadó ezzel később:
- IMAP-on;
- más legacy protokollon;
- külön levelezőkliensből
is hozzáférhet a postafiókhoz.
Az IMAP-ot is engedélyezhetik
Az Ulej megpróbálhatja engedélyezni az IMAP-hozzáférést a fiókhoz.
Ha a támadó rendelkezik a frissen létrehozott alkalmazásjelszóval, az IMAP-on keresztül újra hozzáférhet a levelezéshez anélkül, hogy a normál MFA-folyamatot végrehajtaná.
Ez fontos incidenskezelési következményt jelent.
Nem elegendő:
- törölni a rosszindulatú e-mailt;
- bezárni a böngészőt;
- kijelentkeztetni az aktuális sessionből a felhasználót.
A rejtett beviteli mezők jelszólopásra is használhatók
Az Ulej különösen kreatív módon próbál böngészőben vagy jelszókezelőben tárolt hitelesítő adatokat megszerezni.
A script láthatatlan username és password mezőket illeszt az oldalra.
Ezek a felhasználó képernyőjén kívül helyezkednek el.
Ezután megvárja, hogy:
- a böngésző;
- vagy egy jelszókezelő
automatikusan kitöltse őket.
Ha ez megtörténik, a JavaScript képes lehet kiolvasni és továbbítani az adatokat.
A felhasználó közben semmilyen új bejelentkezési űrlapot nem lát.
Az adatokat a Flowerbed infrastruktúra fogadja
A támadók az összegyűjtött információkat egy Flowerbed nevű infrastruktúrába továbbítják.
A Flowerbed Python-alapú, Dockerrel telepített rendszer.
Négy fő konténerből áll:
- Catcher;
- Certbot;
- Nginx;
- Gardener.
A komponensek különböző feladatokat látnak el.
A Catcher fogadja a lopott adatokat
A Catcher komponens fogadja és ideiglenesen tárolja az áldozatoktól érkező adatokat.
A Certbot Let’s Encrypt tanúsítványokat generál.
Ez lehetővé teszi, hogy a támadói szerverek legitim TLS-tanúsítvánnyal működjenek.
A Nginx titkosított reverse proxyként szolgál.
A Gardener pedig health check funkciókat végez, és ellenőrzi, hogy a gyűjtő infrastruktúra megfelelően működik-e.
Az Nginx próbálja elrejteni a gyűjtőszervert a kutatók elől
A támadói infrastruktúra Nginx komponense ellenőrzi a bejövő kapcsolatok SNI értékét.
Csak azok a kapcsolatok kerülnek továbbításra, amelyek megfelelnek az Ulej által használt mintának.
Más kérések HTTP 444 válasszal zárulnak.
Ez csökkenti annak esélyét, hogy:
- automatikus internetes szkennerek;
- biztonsági kutatók;
- threat intelligence rendszerek
véletlenül felfedezzék a szerver valódi működését.
HTTPS mellett DNS-en keresztül is szivárogtatnak adatot
A nagyobb adatmennyiséget a támadók HTTPS-en továbbítják.
Ide tartozhat:
- teljes e-mail-archívum;
- mellékletek;
- SOAP-válaszok;
- címjegyzék;
- diagnosztikai logok.
Bizonyos kisebb adatokhoz azonban DNS-csatornát is használnak.
Base32-kódolt adatok kerülnek DNS-lekérdezésekbe
A kiválasztott információkat az Ulej Base32 formátumba kódolja.
Ezután a kódolt adatokat DNS-kompatibilis méretű részekre bontja.
A script egy láthatatlan képet próbál betölteni egy támadói domainről.
A kép valójában nem fontos.
A lényeg a domain feloldása.
A támadók által kontrollált DNS-szerver így megkapja az adatot a lekérdezett hostname-ben.
Milyen információt továbbítanak DNS-en?
A DNS-csatornán keresztül többek között az alábbi információk távozhatnak:
- áldozat e-mail-címe;
- Zimbra-verzió;
- webmailkliens típusa;
- aktuális URL;
- alkalmazásjelszó;
- 2FA scratch code;
- autocomplete segítségével ellopott jelszó.
Mivel a DNS-forgalom sok szervezetben kevésbé szigorúan ellenőrzött, ez különösen hatékony exfiltrációs módszer lehet.
A támadói infrastruktúrát rendszeresen cserélik
A Laundry Bear általában 7–60 napig használ egy adott adatgyűjtő szervert.
Ezután új infrastruktúrára költözik.
A csoport:
- VPS-szolgáltatókat használ;
- több szolgáltatónál regisztrál infrastruktúrát;
- hamis személyazonosságot használhat;
- Mullvad VPN mögül dolgozik.
Az infrastruktúra gyors cseréje megnehezíti az egyszerű IP-alapú blokkolást.
AI is segíthette a Flowerbed fejlesztését
A vizsgálók szerint a Flowerbed egyes részein olyan jellemzők találhatók, amelyek arra utalhatnak, hogy mesterséges intelligencia is részt vett a kód elkészítésében.
A jelentés nem azonosít konkrét AI-platformot.
Nincs bizonyíték arra sem, hogy autonóm támadó AI-rendszer működött volna.
A következtetés inkább a kód struktúrájából és minőségéből ered.
A hatóságok szerint a Flowerbed viszonylag egyszerű megoldás, ami arra utalhat, hogy a támadói csoportnak nincs szüksége különösen fejlett szoftverfejlesztő csapatra.
Az AI csökkentheti a támadói infrastruktúra fejlesztésének küszöbét
Az eset jól mutatja, hogyan állítható össze működő kiberkémkedési infrastruktúra:
- egy értékes zero-day sérülékenységből;
- JavaScriptből;
- nyílt forráskódú eszközökből;
- Dockerből;
- olcsó VPS-ekből;
- automatikus TLS-tanúsítványokból;
- AI-val támogatott kódfejlesztésből.
A művelet legnehezebb része valószínűleg a Zimbra-sérülékenység megszerzése vagy felfedezése és megbízható kihasználása volt.
A lopott adatok fogadásához szükséges háttérrendszernek már nem kellett különösen kifinomultnak lennie.
Laundry Bear több néven is ismert
A threat intelligence szolgáltatók eltérő neveket használnak ugyanazon vagy részben átfedő fenyegetési aktivitásra.
A Laundry Bear más ismert elnevezései:
- Void Blizzard – Microsoft;
- CL-STA-1114 – Palo Alto Networks;
- TA488 – Proofpoint;
- korábban UNK_PitStop.
Az elnevezések mögötti aktivitás nem feltétlenül minden esetben teljesen azonos, mivel a különböző cégek eltérő telemetriát és attribúciós módszereket használnak.
A csoport már korábban is nyugati kormányokat támadott
A holland hírszerző szolgálatok 2025 májusában hozták nyilvánosságra a Laundry Bear működését.
A csoportot kapcsolatba hozták egy 2024 szeptemberi incidenssel, amelyben holland rendőrségi dolgozók munkával kapcsolatos kapcsolati adatai kerültek illetéktelen kezekbe.
A hatóságok szerint a csoport érdeklődést mutat:
- NATO-tagállamok;
- nyugati kormányok;
- katonai beszállítók;
- szankciók miatt Oroszország számára nehezen beszerezhető technológia;
- Ukrajnának szállított fegyverek és haditechnika
iránt.
Korábban elsősorban jelszavakat és session tokeneket lopott
A Laundry Bear korábbi támadásai technikailag kevésbé voltak kifinomultak.
A csoport gyakran:
- ellopott hitelesítő adatokat vásárolt vagy szerzett;
- password sprayinget alkalmazott;
- session tokeneket használt újra;
- hagyományos phishingoldalakat működtetett.
2025 áprilisában például egy európai védelmi és biztonsági konferencia regisztrációs oldalát utánzó hamis weboldalt használtak.
A célpontokat Microsoft-fiókkal történő bejelentkezésre vették rá.
Evilginx segítségével MFA-t is megkerültek
A támadók módosított Evilginx adversary-in-the-middle keretrendszert használtak.
Ez nemcsak:
- felhasználónevet;
- jelszót,
hanem a sikeres MFA után keletkező hitelesítési cookie-kat és session tokeneket is elfoghatta.
Ezekkel a támadók később a normál kétfaktoros hitelesítés újbóli végrehajtása nélkül érhették el a fiókokat.
A Zimbra zero-day kampány azonban ennél is veszélyesebb.
Már nincs szükség hamis bejelentkezési oldalra
A korábbi támadási modell:
phishing → hamis oldal → credential + session token lopás → postafiók elérése
Az új modell:
e-mail érkezik → felhasználó megnyitja → Zimbra exploit → hitelesített sessionből adatlopás
A felhasználó számára lényegesen kevesebb gyanús jel jelenik meg.
Ukrajna korai tesztterep lehetett
A közös kormányzati figyelmeztetés szerint a sérülékenységet jelentős mértékben használták ukrán szervezetek ellen, mielőtt az aktivitás szélesebb körben megjelent volna más NATO-tagállamokban és az Egyesült Államokban.
Ez illeszkedik több korábbi orosz kiberművelethez.
Ukrajna:
- kiemelt hírszerzési célpont;
- valamint gyakran új támadási technikák első alkalmazási helyszíne.
Operation GhostMail is ugyanezt a hibát használta
2026 márciusában a Seqrite Labs egy Operation GhostMail nevű kampányt dokumentált.
Ebben a CVE-2025-66376 hibát egy ukrán kormányzati szervezet ellen használták.
A rosszindulatú levél gyakornoki jelentkezésnek álcázta magát.
Nem tartalmazott:
- hagyományos phishinglinket;
- mellékletet;
- makrót.
Az exploit közvetlenül az e-mail HTML-törzsében volt.
A Seqrite ezt az aktivitást közepes bizonyossággal az APT28-hoz kötötte.
Nem biztos, hogy minden támadást ugyanaz a csoport hajtott végre
Az új nemzetközi kormányzati jelentés viszont az Ulej-kampányt a Laundry Bearhez köti.
Ez nem feltétlenül ellentmondás.
Egy zero-day vagy később nyilvánossá váló exploit:
- megosztható több állami csoport között;
- átadható különböző operátoroknak;
- másolható;
- újraimplementálható.
Ezért nem szabad automatikusan minden CVE-2025-66376 elleni támadást ugyanahhoz a threat actorhoz kötni.
Kompromittált fiókokról további támadásokat küldenek
A Laundry Bear legalább 2025 novembere óta már kompromittált postafiókokat is használ újabb rosszindulatú levelek elküldésére.
Ez nagyon hatékony támadási módszer.
A címzett azt látja, hogy az üzenet:
- valódi szervezettől;
- ismert partnertől;
- korábban már kapcsolatban álló személytől;
- legitime-mail infrastruktúráról
érkezik.
A reputációalapú szűrők ezért kevésbé valószínű, hogy blokkolják.
Egyetlen kompromittált postafiók új célpontok százait adhatja
A támadók a megszerzett levelezésből és címjegyzékből megismerhetik:
- belső kollégákat;
- beszállítókat;
- partnereket;
- hatósági kapcsolatokat;
- külső tanácsadókat;
- vezetőket.
A támadás így önmagát erősítő ciklussá válhat.
postafiók kompromittálása → címjegyzék → új célpontok → új postafiókok → még több kapcsolat
Ez ellátási lánchoz hasonló hatást eredményezhet anélkül, hogy tényleges szoftverszállítót kompromittálnának.
Azonnal frissíteni kell a Zimbra rendszereket
A Zimbra Collaboration Suite-ot üzemeltető szervezeteknek azonnal támogatott, javított verzióra kell frissíteniük.
Minimum:
- ZCS 10.0.18;
- ZCS 10.1.13.
A gyakorlatban azonban mindig az adott támogatott ág legfrissebb biztonsági kiadását célszerű telepíteni.
A minimum fix verzió nem tekinthető hosszú távú célállapotnak.
Ha nem lehet azonnal frissíteni, a webmailt korlátozni kell
A közös biztonsági figyelmeztetés szerint ha a javítás azonnali telepítése nem lehetséges, a szervezeteknek célszerű megakadályozniuk, hogy a felhasználók a sérülékeny webmailfelületet használják.
Átmenetileg más levelezőkliens alkalmazható mindaddig, amíg a szerver javítása meg nem történik.
Ez azonban csak a további exploitáció ellen jelent védelmet.
A patch nem távolítja el a már létrehozott perzisztenciát
Ez az egyik legfontosabb incidenskezelési következtetés.
A frissítés:
- bezárja a CVE-2025-66376 hibát;
de nem:
- törli az új app passwordöt;
- tiltja vissza az IMAP-ot;
- állítja vissza a 2FA scratch code-okat;
- vonja vissza a már ellopott session tokeneket;
- törli a támadói OAuth-hozzáféréseket.
Ha a rendszert a patch előtt kompromittálták, teljes incidensvizsgálat szükséges.
Mit kell ellenőrizni?
A biztonsági csapatoknak át kell vizsgálniuk:
- Zimbra verzió- és patch historyt;
- webmail logokat;
- SOAP-kéréseket;
- proxylogokat;
- DNS-forgalmat;
- kimenő HTTPS-kapcsolatokat;
- IMAP-beállításokat;
- alkalmazásspecifikus jelszavakat;
- 2FA scratch code használatot;
- OAuth-consumereket;
- regisztrált eszközöket.
Különösen gyanús minden olyan változás, amelynek nincs felhasználói vagy adminisztrátori magyarázata.
A böngészőkben tárolt jelszavakat is kompromittáltnak kell tekinteni
Mivel az Ulej rejtett input mezők segítségével megpróbálhatja megszerezni az autocomplete által kitöltött jelszavakat, incidens esetén a szervezetnek azt is meg kell vizsgálnia, hogy:
- milyen jelszókezelő működött a böngészőben;
- volt-e automatikus kitöltés;
- milyen más szolgáltatások hitelesítő adatai lehettek elérhetők.
Ez jelentősen megnövelheti a támadás hatókörét a Zimbra-fiókon túl.
A credential rotation megfelelő sorrendje kritikus
A jelszavakat, tokeneket és alkalmazásjelszavakat nem célszerű vakon az incidens legelső pillanatában cserélni.
Ha a támadó továbbra is aktív hozzáféréssel rendelkezik, az új credentialeket ismét megszerezheti.
A helyes folyamat inkább:
- kompromittált rendszer azonosítása;
- izolálás;
- bizonyítékmegőrzés;
- perzisztencia eltávolítása;
- patch telepítése;
- rosszindulatú hozzáférés megszüntetése;
- credential és token rotation;
- utólagos monitoring.
A Laundry Bear várhatóan más e-mail-platformokat is célba vesz
A nemzetközi ügynökségek értékelése szerint a nyilvánosság és a széles körű patching valószínűleg arra kényszeríti a Laundry Beart, hogy idővel elhagyja ezt a konkrét exploitláncot.
Ez azonban nem jelenti a fenyegetés megszűnését.
A csoport várhatóan továbbra is:
- Zimbra;
- más webmailrendszerek;
- e-mail-szerverek;
- identitásszolgáltatások;
- felhős levelezési környezetek
ellen keres majd új hozzáférési lehetőségeket.
Az e-mail-rendszer stratégiai célpont
A kampány ismét megmutatja, miért tartoznak a levelezőrendszerek a legértékesebb kiberkémkedési célpontok közé.
Egyetlen postafiók koncentráltan tartalmazhat:
- üzleti titkot;
- személyes adatot;
- belső kapcsolatokat;
- szerződéseket;
- hitelesítési információkat;
- csatolmányokat;
- stratégiai kommunikációt;
- további célpontok listáját.
Ebben az esetben egyetlen rosszindulatú e-mail megnyitása elegendő volt ahhoz, hogy ez az egész információhalmaz veszélybe kerüljön.
Összegzés
Az orosz állami támogatású Laundry Bear legalább 2025 júliusa óta használta a CVE-2025-66376 Zimbra zero-day sérülékenységet nyugati kormányzati, védelmi, energetikai, technológiai és más nagy értékű szervezetek ellen.
A támadás különösen veszélyes, mert:
- nincs szükség phishinglinkre;
- nincs szükség mellékletre;
- nincs szükség jelszó megadására;
- elég a rosszindulatú e-mail megnyitása.
Az Ulej JavaScript payload ezután a felhasználó hitelesített Zimbra-sessionjét használva:
- akár 90 napnyi e-mailt tölthet le;
- címjegyzéket exportálhat;
- 2FA scratch code-okat lophat;
- alkalmazásspecifikus jelszót hozhat létre;
- IMAP-hozzáférést engedélyezhet;
- OAuth- és eszközinformációkat gyűjthet;
- böngészőben tárolt jelszavakat próbálhat megszerezni.
A szervezetek számára ezért nem elegendő pusztán a Zimbra frissítése.
Ahol a sérülékeny webmailverzió korábban internet felől használható volt, érdemes teljes kompromittálási vizsgálatot végezni, különösen a Zimbra SOAP-aktivitás, alkalmazásjelszavak, 2FA-helyreállító kódok, IMAP-beállítások, OAuth-kapcsolatok, DNS-anomáliák és kimenő HTTPS-forgalom ellenőrzésével.
A kampány egyértelműen mutatja, hogy egy internet felől elérhető levelezőrendszer sérülékenysége nem egyszerű alkalmazáshiba: sikeres kihasználása közvetlen hozzáférést biztosíthat egy szervezet legérzékenyebb kommunikációjához és a teljes kapcsolati hálózatához.
