LAUNDRY BEAR und CVE-2025-66376: Der Zero-Click-Zimbra-Exploit, der E-Mails und 2FA-Codes stiehlt

Am 23. Juli 2026 veröffentlichten die US-amerikanische National Security Agency (NSA), das Federal Bureau of Investigation (FBI), die Cybersecurity and Infrastructure Security Agency (CISA) sowie eine Koalition internationaler Partner eine gemeinsame Cybersicherheitswarnung mit dem Titel „Russian State-Supported Cyber Actors Conduct Phishing Campaign Targeting Users of Zimbra Collaboration Suite" (TLP:CLEAR, Version 1.0). Die Warnung wurde von Behörden aus 16 Ländern mitgetragen, darunter die USA, Niederlande, Australien, Kanada, Neuseeland, Großbritannien, Tschechien, Dänemark, Estland, Finnland, Frankreich, Italien, Moldau, Polen, Spanien und Schweden .

Die Bedrohungsgruppe: LAUNDRY BEAR

Die russische, staatlich gesteuerte APT-Gruppe wird unter dem Namen LAUNDRY BEAR geführt – ein Name, der ursprünglich vom niederländischen AIVD und MIVD geprägt wurde . Die Bedrohungsaktivitäten laufen mindestens seit Juli 2025 . Die Gruppe wird der Spionage für die Russische Föderation zugeordnet. Bemerkenswert ist die „umfangreiche Ausrichtung auf die Ukraine, bevor sie gegen die USA und andere NATO-Verbündete eingesetzt wurde" – die Ukraine diente als „Testfeld für böswillige Cyber-Techniken vor einer breiteren globalen Bereitstellung" . Betroffene Sektoren sind Verteidigung, Bildung, Energie, Strafverfolgung, Medien, Finanzen, Transport und Technologie .

Die Schwachstelle: CVE-2025-66376

Bei CVE-2025-66376 handelt es sich um eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS) in der Classic UI von Zimbra Collaboration Suite (ZCS). Ausgelöst wird sie durch den Missbrauch von CSS-@import-Direktiven in HTML-E-Mail-Nachrichten . Die Sicherheitslücke betrifft ZCS 10.0.x vor 10.0.18 und 10.1.x vor 10.1.13 . Der Fehler wurde von Zimbra im November 2025 behoben . Der CVSS-Score wird von einigen Quellen mit 7,2 (Hoch) und von anderen mit 6,1 (Mittel) angegeben . CISA nahm die Schwachstelle im März 2026 in den Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) auf .

Zero-Click-Exploit-Mechanismus

Dies ist ein Zero-Click- / View-basierter Exploit: Es ist keine Benutzerinteraktion über das Öffnen (Betrachten) einer schädlichen E-Mail hinaus erforderlich – es müssen keine Links angeklickt oder Anhänge geöffnet werden . Sobald der Exploit ausgelöst wird, liefert ein benutzerdefiniertes JavaScript-Payload über die gespeicherte XSS an den Browser des Opfers .

Welche Daten gestohlen werden

Der Exploit zielt auf folgende Daten ab :

• Die letzten 90 Tage der E-Mail-Kommunikation
• Das organisationsweite E-Mail-Verzeichnis (Global Address List / GAL)
• Account-Passwörter (durch Ernten der Browser-Autovervollständigung)
• 2FA-Scratch-Codes und neu erstellte Anwendungspasswörter
• Suchverlauf und Sitzungstoken

Eigenentwicklung: „beehive"

Die Gruppe nutzt eine eigene Fähigkeit zur Datenerfassung und -aggregation namens „beehive" . Beamte warnten, dass die Gruppe diese Fähigkeit wahrscheinlich anpassen und wiederverwenden könnte, um andere Schwachstellen auszunutzen . Die Warnung beschreibt eine mehrstufige Exfiltrationsarchitektur, die sowohl HTTPS als auch DNS-Tunneling (mit einem Tool namens „Ulej" und einer Serverkomponente namens „Flowerbed") verwendet. Die DNS-Abfragen sind gemäß RFC 1035 strukturiert und die Payloads sind base32-kodiert .

Empfohlene Maßnahmen für Organisationen

Die Cybersicherheitsbehörden fordern Organisationen dringend auf :

1. Zimbra patchen – Sofort auf ZCS 10.0.18 / 10.1.13 oder höher aktualisieren.
2. Indikatoren für eine Kompromittierung (IOCs) prüfen – Die Warnung enthält eine Liste zur Erkennung von Angriffen.
3. Verdächtige Authentifizierungsaktivitäten überwachen – Achten Sie auf ungewöhnliche SOAP-Anfragen, neue Anwendungspasswörter und DNS-Exfiltrationsmuster.
4. Die Classic-Webmail-Oberfläche vermeiden, falls ein Patch nicht möglich ist (wechseln Sie zur Modern UI, die von dieser Schwachstelle nicht betroffen ist).
5. Zusätzliche Maßnahmen wie Netzwerküberwachung und Überprüfung der Multi-Faktor-Authentifizierung (MFA) implementieren.

Wichtige Hinweise

Die Schwachstelle wurde etwa fünf Monate lang als Zero-Day ausgenutzt (Juli bis November 2025), bevor Patches veröffentlicht wurden. Die Gruppe nutzt weiterhin aktiv ungepatchte Installationen aus . Die Warnung stuft die Aktivität als „so gut wie sicher" staatlich gelenkte russische Spionage ein – ein finanzielles Erpressungsmotiv wurde nie beobachtet .