LAUNDRY BEAR dan CVE-2025-66376: Eksploitasi Zero-Click Zimbra yang Mencuri Email dan Kode 2FA

Kelompok Ancaman: LAUNDRY BEAR

Kelompok APT yang didukung negara Rusia ini dilacak dengan nama LAUNDRY BEAR, sebuah julukan yang pertama kali dicetuskan oleh dinas intelijen Belanda, AIVD dan MIVD . Aktivitas ancaman ini telah berlangsung sejak setidaknya Juli 2025 . Target kelompok ini dinilai sebagai operasi mata-mata untuk kepentingan Federasi Rusia, dengan "penargetan ekstensif di Ukraina, sebelum digunakan terhadap AS dan sekutu NATO lainnya" — Ukraina dijadikan "tempat uji coba teknik siber berbahaya sebelum penyebaran global yang lebih luas" . Sektor yang telah disusupi meliputi pertahanan, pendidikan, energi, penegakan hukum, media, keuangan, transportasi, dan teknologi .

Celah Keamanan: CVE-2025-66376

CVE-2025-66376 adalah kerentanan stored cross-site scripting (XSS) pada Classic UI Zimbra Collaboration Suite (ZCS), yang disebabkan oleh penyalahgunaan direktif CSS @import dalam pesan email HTML . Kerentanan ini memengaruhi ZCS 10.0.x sebelum 10.0.18 dan 10.1.x sebelum 10.1.13 . Celah ini telah ditambal oleh Zimbra pada November 2025 . Skor CVSS dilaporkan 7.2 (Tinggi) oleh beberapa sumber atau 6.1 (Sedang) oleh sumber lainnya . CISA telah menambahkan kerentanan ini ke dalam Katalog Kerentanan yang Telah Dieksploitasi (KEV) pada Maret 2026 .

Mekanisme Eksploitasi Zero-Click

Ini adalah eksploitasi zero-click / view-based: tidak diperlukan interaksi pengguna selain membuka (melihat) email berbahaya — tidak perlu mengeklik tautan atau membuka lampiran . Setelah terpicu, muatan JavaScript kustom dikirimkan ke peramban korban melalui stored XSS .

Data yang Dicuri

Eksploitasi ini menargetkan :

• 90 hari terakhir komunikasi email
• Direktori email organisasi (Global Address List / GAL)
• Kata sandi akun (melalui pemanenan isi otomatis peramban)
• Kode cadangan 2FA dan kata sandi aplikasi yang baru dibuat
• Riwayat pencarian dan token sesi

Kemampuan Kustom: "beehive"

Kemampuan eksfiltrasi dan agregasi data kustom kelompok ini disebut "beehive" . Pejabat memperingatkan bahwa kelompok ini kemungkinan dapat menyesuaikan dan menggunakan kembali kemampuan ini untuk mengeksploitasi kerentanan lainnya . Laporan tersebut merinci arsitektur eksfiltrasi multi-tahap yang menggunakan HTTPS dan DNS tunneling (melalui alat bernama "Ulej" dengan komponen server "Flowerbed"), dengan kueri DNS terstruktur sesuai RFC 1035 dan muatan yang dienkode base32 .

Tindakan yang Direkomendasikan untuk Organisasi

Peringatan tersebut mendesak organisasi untuk :

1. Menambal Zimbra — Segera perbarui ke ZCS 10.0.18 / 10.1.13 atau yang lebih baru.
2. Meninjau Indikator Kompromi (IOC) — Tersedia dalam laporan untuk mendeteksi eksploitasi.
3. Memantau aktivitas autentikasi mencurigakan — Termasuk permintaan SOAP yang tidak biasa, kata sandi aplikasi baru, dan pola eksfiltrasi DNS.
4. Hindari penggunaan klien webmail Classic jika tidak dapat menambal (beralih ke Modern UI yang tidak terpengaruh oleh kerentanan ini).
5. Terapkan mitigasi tambahan termasuk pemantauan jaringan dan peninjauan MFA.

Catatan Penting

Kerentanan ini dieksploitasi sebagai zero-day selama sekitar lima bulan (Juli–November 2025) sebelum patch dirilis, dan kelompok ini terus secara aktif mengeksploitasi instansi yang belum ditambal . Laporan tersebut menilai aktivitas ini "hampir pasti" merupakan mata-mata yang didukung negara Rusia — tidak ada motif pemerasan finansial yang pernah diamati .