Ruská skupina LAUNDRY BEAR zneužívá zero-click zranitelnost v Zimbře. Stačí otevřít e-mail.

Hrozba: Skupina LAUNDRY BEAR

Ruská státem podporovaná pokročilá perzistentní hrozba (APT) je sledována pod názvem LAUNDRY BEAR, který původně vytvořily nizozemské zpravodajské služby AIVD a MIVD . Kybernetické útoky probíhají přinejmenším od července 2025 . Cílem skupiny je dle hodnocení špionáž ve prospěch Ruské federace, přičemž „rozsáhlé cílení na Ukrajinu předcházelo použití proti USA a dalším spojencům z NATO" – Ukrajina sloužila jako „testovací prostředí pro škodlivé kybernetické techniky před širším globálním nasazením" . Mezi kompromitované sektory patří obrana, školství, energetika, policie, média, finance, doprava a technologie .

Zranitelnost: CVE-2025-66376

CVE-2025-66376 je zranitelnost typu stored cross-site scripting (XSS) v Classic UI Zimbra Collaboration Suite (ZCS), způsobená zneužitím direktiv CSS @import v HTML e-mailových zprávách . Postihuje ZCS 10.0.x před verzí 10.0.18 a 10.1.x před verzí 10.1.13 . Zranitelnost byla opravena společností Zimbra v listopadu 2025 . Skóre CVSS je uváděno jako 7,2 (Vysoké) některými zdroji nebo 6,1 (Střední) jinými . CISA přidala tuto zranitelnost do svého katalogu známých zneužívaných zranitelností (KEV) v březnu 2026 .

Mechanismus zero-click exploitu

Jedná se o zero-click / view-based exploit: k jeho aktivaci není potřeba žádná interakce uživatele kromě otevření (zobrazení) škodlivého e-mailu – není třeba klikat na odkazy ani otevírat přílohy . Po spuštění je do prohlížeče oběti doručen vlastní JavaScriptový kód prostřednictvím stored XSS .

Jaká data jsou kradena

Exploit se zaměřuje na :

• Posledních 90 dní e-mailové komunikace
• Adresář organizace (Global Address List / GAL)
• Hesla k účtům (získaná z automatického doplňování v prohlížeči)
• Záložní kódy pro dvoufaktorové ověření (2FA) a nově vytvořená aplikační hesla
• Historii vyhledávání a session tokeny

Speciální nástroj: „beehive"

Vlastní schopnost skupiny pro exfiltraci a agregaci dat se nazývá „beehive" . Úředníci varovali, že skupina tuto schopnost pravděpodobně přizpůsobí a znovu použije k zneužití dalších zranitelností . Varování podrobně popisuje vícestupňovou architekturu exfiltrace využívající jak HTTPS, tak DNS tunelování (prostřednictvím nástroje zvaného „Ulej" s komponentou serveru „Flowerbed"), přičemž DNS dotazy jsou strukturovány podle RFC 1035 a obsahují payloady kódované base32 .

Doporučená opatření pro organizace

Varování vyzývá organizace k :

1. Aktualizaci Zimbry – Okamžitě aktualizovat na ZCS 10.0.18 / 10.1.13 nebo novější.
2. Kontrole indikátorů kompromitace (IOC) – Uvedených ve varování pro detekci zneužití.
3. Monitorování podezřelé autentizační aktivity – Včetně neobvyklých SOAP požadavků, nových aplikačních hesel a vzorců DNS exfiltrace.
4. Vyhýbání se Classic webmail klientovi – Pokud není možné provést aktualizaci, přejít na Modern UI, které není touto zranitelností zasaženo.
5. Implementaci dalších opatření včetně monitorování sítě a kontroly MFA.

Důležité upozornění

Zranitelnost byla zneužívána jako zero-day po dobu přibližně pěti měsíců (červenec–listopad 2025), než byly vydány záplaty, a skupina nadále aktivně zneužívá neopravené instance . Varování hodnotí aktivitu jako „téměř jistě" ruskou státem podporovanou špionáž – nebyl nikdy pozorován motiv finančního vydírání .