Westliche Cybersicherheits- und Geheimdienstbehörden haben gewarnt, dass die staatlich unterstützte russische Hackergruppe Laundry Bear, die von Microsoft ebenfalls als Void Blizzard verfolgt wird, eine Schwachstelle in den E-Mail-Servern von Zimbra Collaboration ausnutzt, um sensible E-Mails von Regierungsorganisationen und anderen hochrangigen Zielen zu stehlen. Die Kampagne konzentrierte sich hauptsächlich auf die Ukraine, bevor sie auf NATO-Mitgliedstaaten und weitere Organisationen in Europa und Nordamerika ausgeweitet wurde.
Laut einer gemeinsamen Warnung der Vereinigten Staaten, des Vereinigten Königreichs, Kanadas, Australiens, der Niederlande und mehrerer weiterer verbündeter Staaten haben die Angreifer eine kürzlich gepatchte Zimbra-Schwachstelle missbraucht, die als CVE-2025-66376 identifiziert wurde. Cybersicherheitsforscher beschreiben die Technik als “Halbklick”-Angriff, da Opfer keinen bösartigen Link anklicken oder einen Anhang öffnen müssen. Allein das Öffnen einer speziell erstellten Phishing-E-Mail reicht aus, um den Exploit auszulösen und es Angreifern zu ermöglichen, das Postfach des Opfers zu kompromittieren.
Im Gegensatz zu traditionellen Phishing-Kampagnen, die darauf beruhen, Nutzer davon zu überzeugen, mit bösartigen Inhalten zu interagieren, senkt dieser Angriff die Hürde für Kompromittierungen erheblich. Sobald die E-Mail im verwundbaren Zimbra-Webclient angezeigt wird, wird der bösartige Code automatisch innerhalb der Browsersitzung des Nutzers ausgeführt, sodass die Angreifer auf die E-Mail-Daten zugreifen können, ohne weitere Interaktion zu benötigen. Sicherheitsforscher sagen, dass dies die Kampagne besonders gefährlich macht, da ein standardmäßiges Nutzerbewusstseinstraining wenig Schutz gegen diese Art von Exploit bietet.
Die Behörden erklärten, die Kampagne sei zunächst gegen ukrainische Organisationen gerichtet worden, bevor sie sich auf Regierungsbehörden, Polizeibehörden, verteidigungsbezogene Einrichtungen und diplomatische Organisationen in NATO-Ländern ausweitete. Geheimdienstmitarbeiter gehen davon aus, dass die Operation zu Cyber-Spionagezwecken durchgeführt wurde, mit dem Hauptziel, sensible Kommunikation zu sammeln, anstatt Ransomware oder zerstörerische Malware einzusetzen.
Laundry Bear wurde erstmals öffentlich bekannt, nachdem niederländische Geheimdienste die Gruppe mit dem Kompromiss der niederländischen Nationalpolizei von 2024 in Verbindung brachten, einem Eingriff, der persönliche Informationen von Polizeipersonal offenlegte. Seitdem haben Forscher der Gruppe mehrere Spionagekampagnen zugeschrieben, die Microsoft unter dem Namen Void Blizzard verfolgt. US-Behörden haben Laundry Bear außerdem mit dem russischen Cybersicherheitsunternehmen Yutek-NN in Verbindung gebracht, und gegen einen der ranghohen Beamten des Unternehmens wurden bereits strafrechtliche Anklagen im Zusammenhang mit Hackerangriffen erhoben. Russland hat konsequent eine Beteiligung an staatlich geförderten Cyber-Spionagekampagnen bestritten.
Die in der Kampagne ausgenutzte Zimbra-Schwachstelle wurde nun behoben, und Cybersicherheitsbehörden fordern die Organisationen, die Zimbra Collaboration betreiben, auf, die neuesten Sicherheitsupdates sofort zu installieren. Administratoren wird außerdem geraten, Serverprotokolle auf Anzeichen verdächtiger Aktivitäten zu prüfen, nach Hinweisen auf eine Kompromittierung im gemeinsamen Hinweis zu suchen und die Zugangsdaten zurückzusetzen, wenn unbefugter Zugriff vermutet wird. Da die Angreifer sich auf den Diebstahl von E-Mail-Daten konzentrierten, empfehlen die Ermittler, die Mailbox-Zugriffsdaten auf ungewöhnliche Aktivitäten zu prüfen, die auf eine erfolgreiche Ausnutzung hindeuten könnten.