Los piratas informáticos rusos utilizan Zimbra 0-Day contra objetivos en EE. UU. y Ucrania
Los actores de amenazas respaldados por el Estado ruso están comprometiendo redes de gobiernos y empresas occidentales a través de la Suite de colaboración Zimbra (ZCS), según agencias de inteligencia y agencias de ciberseguridad de más de una docena de países.
en uno consulta conjunta El jueves, el gobierno de EE. UU. y varias naciones aliadas advirtieron que una amenaza persistente avanzada (APT) llamada “Laundry Bear” ha estado apuntando a los clientes de ZCS desde julio de 2025. Los actores de Laundry Bear utilizaron una Vulnerabilidad de día cero en ZCSrastreado como CVE-2025-66376, en una campaña de phishing que incluía lo que los expertos llamaron un “exploit de medio clic” para atacar los servidores de correo web de Zimbra.
«A diferencia de las campañas de phishing tradicionales que engañan al usuario para que realice una acción, como hacer clic en un enlace o abrir un archivo, la última campaña de Laundry Bear utiliza un exploit basado en visualización que simplemente requiere que el usuario vea un correo electrónico malicioso en una versión vulnerable del servicio de correo web», decía el aviso de las agencias.
El objetivo de la campaña es “casi con certeza recopilar información confidencial para la Federación Rusa”, dice el informe. Los ataques de mapaches suponen otra amenaza APT rusos contra organizaciones estadounidenses.
Actividad de día cero de Zimbra
Zimbra parchó CVE-2025-66376 en noviembre de 2025 con el lanzamiento de la versión 10.1.13, aunque la compañía no reveló la falla hasta semanas después. El Notas de la versión inicial para v10.1.13 simplemente describió el error como «un archivo guardado Vulnerabilidad XSS en la interfaz de usuario clásica, donde los atacantes podían abusar de las directivas CSS @import en el HTML del correo electrónico”, en aquel entonces sin CVE.
El Instituto Nacional de Estándares y Tecnología (NIST) y Mitre solo publicaron entradas sobre el error Zimbra a principios de enero. Dark Reading se puso en contacto con Zimbra y la empresa matriz Synacor para comentar sobre la aparente divulgación retrasada de CVE-2025-66376, pero ninguna de las empresas respondió al cierre de esta edición.
En un 17 de marzo Publicación de blogLa empresa de ciberseguridad Seqrite informó que los actores de amenazas rusos explotaron CVE-2025-66376 para comprometer una agencia del gobierno ucraniano. En ese momento, Seqrite atribuyó la actividad, a la que llamó “Operación GhostMail”, a APT28, también conocido como oso de lujo.
Al día siguiente, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) agregó la vulnerabilidad de alta gravedad a su catálogo de vulnerabilidades explotadas conocidas (KEV) el 18 de marzo. Mitre también le dio a la vulnerabilidad una puntuación CVSS de 7,2.
Sin embargo, agencias de inteligencia y agencias de ciberseguridad de 15 países diferentes dijeron que la actividad de explotación era mucho más extensa y se remontaba al menos a julio de 2025. También vincularon la campaña de phishing con otro “oso” ruso.
Explotación de Zimbra con medio clic de Laundry Bear
Según el informe conjunto, el Servicio General de Inteligencia y Seguridad de los Países Bajos (AIVD) identificó por primera vez a Laundry Bear en mayo como una nueva APT rusa patrocinada por el Estado junto con otros grupos más conocidos. Laundry Bear, dicen los autores, anteriormente se centraba en tácticas simples como: B. irse Pulverización de contraseñas y ataques de phishing convencionales hasta el año pasado, cuando los actores comenzaron a utilizar un “nuevo exploit” para CVE-2025-66376 que ya no permitía a las víctimas específicas hacer clic en un enlace o abrir un archivo adjunto de correo electrónico malicioso.
en uno Publicación de blog El jueves, Proofpoint, que participó en la investigación gubernamental sobre Laundry Bear, dijo que la vulnerabilidad Zimbra permitía a los actores de amenazas crear correos electrónicos de phishing de «medio clic» que solo requerían que la víctima abriera o previsualizara el mensaje.
«Si el correo electrónico se abre en Zimbra Webmail, independientemente del navegador del usuario, un cliente de correo web Zimbra vulnerable procesará mal el código HTML del mensaje y ejecutará JavaScript arbitrario», escribieron los investigadores de Proofpoint, y agregaron que el exploit luego recopila los mensajes de la víctima de los últimos 90 días y exfiltra los datos a un servidor de comando y control (C2).
Los investigadores de Proofpoint descubrieron que Laundry Bear, al que rastrean como TA488, no solo apuntaba a eso Organismos gubernamentales de Ucrania sino agencias del gobierno estadounidense, contratistas de defensa y organizaciones científicas. También descubrieron que los actores de amenazas utilizaron el exploit durante «al menos cinco meses en 2025» y aparentemente cesaron sus operaciones en febrero tras el descubrimiento de Seqrite.
Si bien la campaña Zimbra de Laundry Bear puede haber terminado, la amenaza para los clientes de Zimbra persiste. Greg Lesnewich, ingeniero senior de investigación de amenazas en Proofpoint, le dice a Dark Reading que la compañía ha observado que «otros grupos de actividad no agrupados» explotan la vulnerabilidad en servidores de correo web sin parches.
Los investigadores de Proofpoint determinaron que el exploit CVE-2025-66376 probablemente fue regalado a Laundry Bear por agencias de inteligencia rusas y no fue desarrollado internamente. Además, los investigadores advirtieron que era posible que fuera el grupo APT Usando modelos de lenguaje grandes para «desarrollar una solución alternativa para que el parche de Zimbra continúe apuntando a los servidores de Zimbra».
Lesnewich dice que si bien Proofpoint no encontró evidencia técnica de que el exploit haya sido generado por IA, «es plausible ya que los LLM probablemente podrían identificar tales vulnerabilidades XSS en el software de correo web».
El aviso conjunto instó a los clientes de ZCS a actualizar inmediatamente su software a una versión fija o, si no es posible aplicar parches, a cambiar a clientes de correo web alternativos. Las autoridades dijeron que los administradores de sistemas deberían monitorear de cerca cualquier instancia de ZCS o sistema de correo electrónico conectado a Internet para detectar signos de compromiso.
Nos llegó este contenido de ciberseguridad de: DarkReading
Encontrarás la noticia original en el siguiente enlace: https://www.darkreading.com/cyberattacks-data-breaches/russian-hackers-zimbra-zero-day-us-ukraine-targets
