LAUNDRY BEAR e CVE-2025-66376: l'exploit zero-click su Zimbra che ruba email e codici 2FA

Il 23 luglio 2026, la National Security Agency (NSA), l'FBI, la Cybersecurity and Infrastructure Security Agency (CISA) e una coalizione di partner internazionali, tra cui l'Italia, hanno pubblicato un'avvertenza congiunta dal titolo "Russian State-Supported Cyber Actors Conduct Phishing Campaign Targeting Users of Zimbra Collaboration Suite" (TLP:CLEAR, Ver 1.0) . L'avviso è stato firmato da agenzie di 16 paesi: Stati Uniti, Paesi Bassi, Australia, Canada, Nuova Zelanda, Regno Unito, Repubblica Ceca, Danimarca, Estonia, Finlandia, Francia, Italia, Moldavia, Polonia, Spagna e Svezia .

Il gruppo: LAUNDRY BEAR

Il gruppo APT (Advanced Persistent Threat) sostenuto dalla Russia è noto come LAUNDRY BEAR, nome coniato dai servizi di intelligence olandesi AIVD e MIVD . L'attività malevola è in corso almeno dal luglio 2025 . La loro missione è lo spionaggio a favore della Federazione Russa. Hanno preso di mira estesamente l'Ucraina come 'banco di prova' prima di espandersi verso Stati Uniti e altri alleati NATO . I settori colpiti includono: difesa, istruzione, energia, forze dell'ordine, media, finanza, trasporti e tecnologia .

La vulnerabilità: CVE-2025-66376

CVE-2025-66376 è una vulnerabilità di cross-site scripting (XSS) memorizzata nella Classic UI di Zimbra Collaboration Suite (ZCS). La falla si basa sull'abuso di direttive CSS @import all'interno di messaggi email HTML . Le versioni interessate sono ZCS 10.0.x precedenti alla 10.0.18 e 10.1.x precedenti alla 10.1.13 . La patch è stata rilasciata da Zimbra a novembre 2025 . Il punteggio CVSS è riportato come 7.2 (Alto) da alcune fonti o 6.1 (Medio) da altre . La CISA ha aggiunto questa vulnerabilità al suo catalogo 'Known Exploited Vulnerabilities' a marzo 2026 .

Meccanismo dell'exploit: zero-click

Si tratta di un exploit zero-click (o view-based): non è richiesta alcuna interazione da parte dell'utente oltre alla semplice apertura (visualizzazione) dell'email. Non è necessario cliccare su link o aprire allegati . Una volta aperta l'email, un payload JavaScript personalizzato viene eseguito nel browser della vittima tramite la XSS memorizzata .

I dati rubati

L'exploit è progettato per rubare :

• Gli ultimi 90 giorni di comunicazioni email
• La rubrica dell'organizzazione (Global Address List / GAL)
• Le password degli account (raccolte tramite l'autocompletamento del browser)
• I codici di backup 2FA e le nuove password delle applicazioni
• La cronologia delle ricerche e i token di sessione

La capacità personalizzata: "beehive"

Il gruppo utilizza una capacità personalizzata di esfiltrazione e aggregazione dei dati chiamata "beehive" . Le autorità avvertono che il gruppo potrebbe adattare e riutilizzare questa capacità per sfruttare altre vulnerabilità . L'avviso descrive un'architettura di esfiltrazione a più fasi che utilizza sia HTTPS che DNS tunneling (tramite uno strumento chiamato "Ulej" con un server "Flowerbed"), con query DNS strutturate secondo RFC 1035 e payload codificati in base32 .

Azioni raccomandate per le organizzazioni

L'avviso sollecita le organizzazioni a :

1. Aggiornare Zimbra — Passare immediatamente a ZCS 10.0.18 / 10.1.13 o successivo.
2. Verificare gli Indicator of Compromise (IoC) — Forniti nell'avviso per rilevare eventuali sfruttamenti.
3. Monitorare attività di autenticazione sospette — Richieste SOAP anomale, nuove password delle applicazioni e pattern di esfiltrazione DNS.
4. Evitare l'uso della Classic UI — Se non è possibile applicare la patch, passare alla Modern UI, che non è vulnerabile.
5. Implementare mitigazioni aggiuntive come il monitoraggio di rete e la revisione delle policy MFA.

Punti chiave

La vulnerabilità è stata sfruttata come zero-day per circa cinque mesi (da luglio a novembre 2025) prima del rilascio della patch, e il gruppo continua a sfruttare attivamente le istanze non aggiornate . L'avviso valuta l'attività come "quasi certamente" spionaggio sostenuto dalla Russia: non è mai stato osservato alcun movente di estorsione finanziaria .