NSA wraz z partnerami ostrzegła użytkowników Zimbra Collaboration Suite przed kampanią rosyjskiej grupy Laundry Bear. Atak wykorzystuje phishing oraz własne narzędzie nazwane „Ulej”. W podatnych wersjach webmaila exploit może uruchomić się automatycznie po wyświetleniu złośliwej wiadomości. Celem jest m.in. kradzież katalogu adresowego organizacji, ostatnich 90 dni korespondencji ofiary oraz innych poufnych informacji.
Jak Laundry Bear atakuje użytkowników Zimbra?
Jak wynika z ostrzeżenia NSA i partnerów, kampania jest prowadzona od lipca 2025 roku przeciw organizacjom rządowym i komercyjnym w Stanach Zjednoczonych oraz państwach sojuszniczych.
Grupa wykorzystuje podatność CVE-2025-66376. Gdy zaczęto jej używać, była to luka zero-day. Exploit jest uruchamiany podczas wyświetlania wiadomości w podatnej wersji webmaila Zimbra, dlatego użytkownik nie musi klikać tradycyjnego odnośnika do fałszywej strony.
Jakie dane próbuje wykraść atakujący?
NSA podaje, że mechanizm próbuje wyprowadzić katalog pocztowy organizacji oraz około 90 dni korespondencji ofiary. Taki zestaw informacji ma dużą wartość również przy przygotowywaniu dalszych ataków: pokazuje realnych współpracowników, tematy rozmów i strukturę komunikacji wewnątrz organizacji.
Czy podatność nadal stanowi zagrożenie?
Tak dla systemów, które nadal pozostają niezałatane. NSA wyraźnie wskazuje, że znana podatność jest nadal skutecznie wykorzystywana przeciw niezaktualizowanym instalacjom Zimbra. Administratorzy powinni wdrożyć dostępne poprawki, przeanalizować wskaźniki kompromitacji z advisory i sprawdzić, czy w środowisku nie występowała opisana aktywność.