Agências ocidentais de cibersegurança e inteligência alertaram que o grupo de hackers patrocinado pelo Estado russo Laundry Bear, também rastreado pela Microsoft como Void Blizzard, tem explorado uma vulnerabilidade nos servidores de e-mail da Zimbra Collaboration para roubar e-mails sensíveis de organizações governamentais e outros alvos de alto valor. A campanha focou principalmente na Ucrânia antes de se expandir para os Estados-membros da OTAN e outras organizações na Europa e América do Norte.
De acordo com um aviso conjunto emitido pelos Estados Unidos, Reino Unido, Canadá, Austrália, Holanda e várias outras nações aliadas, os atacantes abusaram de uma vulnerabilidade do Zimbra recentemente corrigida, identificada como CVE-2025-66376. Pesquisadores de cibersegurança descrevem a técnica como um ataque de “meio clique” porque as vítimas não precisam clicar em um link malicioso ou abrir um anexo. Basta abrir um e-mail de phishing especialmente elaborado para acionar o exploit, permitindo que os atacantes comprometam a caixa de correio da vítima.
Diferente das campanhas tradicionais de phishing, que dependem de convencer os usuários a interagir com conteúdo malicioso, este ataque reduz significativamente a barreira para compromisso. Uma vez exibido o e-mail no vulnerável cliente web Zimbra, código malicioso é executado automaticamente dentro da sessão do navegador do usuário, permitindo que os atacantes acessem os dados do e-mail sem necessidade de interação adicional. Pesquisadores de segurança dizem que isso torna a campanha particularmente perigosa porque o treinamento padrão de conscientização do usuário oferece pouca proteção contra esse tipo de exploração.
As autoridades disseram que a campanha foi inicialmente observada com o alvo de organizações ucranianas antes de se expandir para agências governamentais, departamentos de polícia, entidades relacionadas à defesa e organizações diplomáticas em países da OTAN. Autoridades de inteligência acreditam que a operação foi conduzida para fins de ciberespionagem, com o objetivo principal de coletar comunicações sensíveis em vez de implantar ransomware ou malware destrutivo.
Laundry Bear ganhou atenção pública pela primeira vez depois que agências de inteligência holandesas ligaram o grupo ao compromisso de 2024 da Polícia Nacional Holandesa, uma invasão que expôs informações pessoais pertencentes a policiais. Desde então, pesquisadores atribuíram múltiplas campanhas de espionagem ao grupo, que a Microsoft rastreia sob o nome Void Blizzard. As autoridades dos EUA também ligaram a Laundry Bear à empresa russa de cibersegurança Yutek-NN, e acusações criminais já foram apresentadas anteriormente contra um dos altos funcionários da empresa em conexão com atividades de hacking. A Rússia tem negado consistentemente envolvimento em campanhas de ciberespionagem patrocinadas pelo Estado.
A vulnerabilidade Zimbra explorada na campanha já foi corrigida, e as agências de cibersegurança estão incentivando as organizações que executam a Colaboração Zimbra a instalar imediatamente as últimas atualizações de segurança. Os administradores também são aconselhados a revisar os logs do servidor em busca de sinais de atividade suspeita, buscar indicadores de comprometimento fornecidos no aviso conjunto e redefinir credenciais caso se suspeite de acesso não autorizado. Como os atacantes focaram em roubar dados de e-mail, os investigadores recomendam examinar os registros de acesso à caixa de correio em busca de atividades incomuns que possam indicar exploração bem-sucedida.