Le agenzie occidentali di cybersecurity e intelligence hanno avvertito che il gruppo hacker statale russo Laundry Bear, anch’esso tracciato da Microsoft come Void Blizzard, sta sfruttando una vulnerabilità nei server email di Zimbra Collaboration per rubare email sensibili da organizzazioni governative e altri obiettivi di alto valore. La campagna si è concentrata principalmente sull’Ucraina prima di espandersi agli stati membri della NATO e ad altre organizzazioni in Europa e Nord America.
Secondo un avviso congiunto emesso da Stati Uniti, Regno Unito, Canada, Australia, Paesi Bassi e diverse altre nazioni alleate, gli aggressori hanno abusato di una vulnerabilità Zimbra recentemente aggiornata identificata come CVE-2025-66376. I ricercatori di cybersecurity descrivono la tecnica come un attacco a “mezzo clic” perché le vittime non devono cliccare su un link malevolo o aprire un allegato. Basta aprire un’email di phishing appositamente creata per attivare l’exploit, permettendo agli attaccanti di compromettere la casella della posta della vittima.
A differenza delle tradizionali campagne di phishing che si basano sul convincere gli utenti a interagire con contenuti dannosi, questo attacco abbassa significativamente la barriera alla compromessa. Una volta che l’email viene visualizzata nel vulnerabile client web Zimbra, il codice malevolo viene eseguito automaticamente all’interno della sessione browser dell’utente, permettendo agli attaccanti di accedere ai dati delle email senza necessità di ulteriori interazioni. I ricercatori di sicurezza affermano che ciò rende la campagna particolarmente pericolosa perché la formazione standard sulla consapevolezza degli utenti offre poca protezione contro questo tipo di exploit.
Le autorità hanno riferito che la campagna è stata inizialmente osservata come colpa di organizzazioni ucraine prima di espandersi ad agenzie governative, dipartimenti di polizia, entità legate alla difesa e organizzazioni diplomatiche nei paesi della NATO. I funzionari dell’intelligence ritengono che l’operazione sia stata condotta a scopo di cyber-spionaggio, con l’obiettivo principale di raccogliere comunicazioni sensibili piuttosto che dispiegare ransomware o malware distruttivo.
Laundry Bear è entrato nell’attenzione pubblica dopo che le agenzie di intelligence olandesi hanno collegato il gruppo al compromesso del 2024 della Polizia Nazionale Olandese, un’intrusione che ha rivelato informazioni personali appartenenti al personale della polizia. Da allora, i ricercatori hanno attribuito al gruppo diverse campagne di spionaggio, che Microsoft traccia sotto il nome Void Blizzard. Le autorità statunitensi hanno anche collegato Laundry Bear alla società russa di cybersecurity Yutek-NN, e in precedenza sono state presentate accuse penali contro uno dei dirigenti senior dell’azienda in relazione ad attività di hacking. La Russia ha costantemente negato il coinvolgimento in campagne di cyberspionaggio sponsorizzate dallo Stato.
La vulnerabilità Zimbra sfruttata nella campagna è stata ora corretta con una patch e le agenzie di cybersecurity stanno sollecitando le organizzazioni che gestiscono Zimbra Collaboration a installare immediatamente gli ultimi aggiornamenti di sicurezza. Si consiglia inoltre agli amministratori di esaminare i log dei server per individuare segni di attività sospette, cercare indicatori di compromissione forniti nell’avviso congiunto e reimpostare le credenziali se si sospetta un accesso non autorizzato. Poiché gli attaccanti si sono concentrati sul furto di dati email, gli investigatori raccomandano di esaminare i registri di accesso alle caselle per attività insolite che possano indicare uno sfruttamento riuscito.