Les agences occidentales de cybersécurité et de renseignement ont averti que le groupe de hackers russe parrainé par l’État Laundry Bear, également suivi par Microsoft sous le nom de Void Blizzard, exploitait une vulnérabilité des serveurs de messagerie de Zimbra Collaboration pour voler des courriels sensibles d’organisations gouvernementales et d’autres cibles de grande valeur. La campagne s’est principalement concentrée sur l’Ukraine avant de s’étendre aux États membres de l’OTAN et à d’autres organisations en Europe et en Amérique du Nord.
Selon un avis conjoint émis par les États-Unis, le Royaume-Uni, le Canada, l’Australie, les Pays-Bas et plusieurs autres pays alliés, les attaquants ont abusé d’une vulnérabilité Zimbra récemment corrigée identifiée sous le nom de CVE-2025-66376. Les chercheurs en cybersécurité décrivent cette technique comme une attaque « demi-clic » car les victimes n’ont pas besoin de cliquer sur un lien malveillant ni d’ouvrir une pièce jointe. Il suffit simplement d’ouvrir un courriel de phishing spécialement conçu pour déclencher l’exploit, permettant aux attaquants de compromettre la boîte aux lettres de la victime.
Contrairement aux campagnes de phishing traditionnelles qui reposent sur la persuasion des utilisateurs d’interagir avec du contenu malveillant, cette attaque réduit considérablement la barrière à la compromission. Une fois l’email affiché dans le client web vulnérable de Zimbra, un code malveillant s’exécute automatiquement dans la session du navigateur de l’utilisateur, permettant aux attaquants d’accéder aux données des emails sans nécessiter d’interaction supplémentaire. Les chercheurs en sécurité estiment que cela rend la campagne particulièrement dangereuse car la formation standard à la sensibilisation des utilisateurs offre peu de protection contre ce type d’exploit.
Les autorités ont indiqué que la campagne avait d’abord été observée en ciblant des organisations ukrainiennes avant de s’étendre aux agences gouvernementales, aux services de police, aux entités liées à la défense et aux organisations diplomatiques dans les pays de l’OTAN. Les responsables du renseignement estiment que l’opération a été menée à des fins de cyberespionnage, avec pour objectif principal de collecter des communications sensibles plutôt que de déployer des ransomwares ou des logiciels malveillants destructeurs.
Laundry Bear a d’abord attiré l’attention du public après que les agences de renseignement néerlandaises ont lié le groupe à la compromission de 2024 de la police nationale néerlandaise, une intrusion qui a révélé des informations personnelles appartenant au personnel de la police. Depuis, des chercheurs ont attribué plusieurs campagnes d’espionnage au groupe, que Microsoft suit sous le nom de Void Blizzard. Les autorités américaines ont également lié Laundry Bear à la société russe de cybersécurité Yutek-NN, et des poursuites pénales ont déjà été déposées contre l’un des hauts responsables de l’entreprise en lien avec des activités de piratage. La Russie a constamment nié toute implication dans des campagnes d’espionnage cybernétique parrainées par l’État.
La vulnérabilité Zimbra exploitée dans la campagne a désormais été corrigée, et les agences de cybersécurité exhortent les organisations gérant Zimbra Collaboration à installer immédiatement les dernières mises à jour de sécurité. Les administrateurs sont également invités à examiner les journaux des serveurs à la recherche de signes d’activité suspecte, à rechercher des indicateurs de compromission fournis dans l’avis conjoint et à réinitialiser les identifiants si un accès non autorisé est suspecté. Comme les attaquants se concentraient sur le vol de données de courriels, les enquêteurs recommandent d’examiner les enregistrements d’accès aux boîtes aux lettres pour détecter des activités inhabituelles pouvant indiquer une exploitation réussie.