Rosyjscy hakerzy kradną maile i kody 2FA bez kliknięcia. Ostrzeżenie dla użytkowników Zimbra
23 lipca 2026 roku NSA, FBI, CISA oraz agencje z 16 państw opublikowały wspólne ostrzeżenie przed grupą LAUNDRY BEAR, która wykorzystuje lukę CVE 2025 66376 w Zimbra Collaboration Suite – exploit typu zero click pozwa... Luka dotyczy wersji Zimbra 10.0.x przed 10.0.18 oraz 10.1.x przed 10.1.13.
Opublikowane przezEdytowane za pomocą DeepSeek-V4-FlashObrazy wygenerowane za pomocą GPT Image 1.5
23 lipca 2026 roku NSA, FBI, CISA oraz agencje z 16 państw opublikowały wspólne ostrzeżenie przed grupą LAUNDRY BEAR, która wykorzystuje lukę CVE 2025 66376 w Zimbra Collaboration Suite – exploit typu zero click pozwa...
Luka dotyczy wersji Zimbra 10.0.x przed 10.0.18 oraz 10.1.x przed 10.1.13. Łatka została wydana w listopadzie 2025 roku, ale ataki na niezaktualizowane systemy wciąż trwają.
Organizacje powinny natychmiast zaktualizować Zimbrę, przejść na nowoczesny interfejs (Modern UI) i monitorować wskaźniki kompromitacji (IOC) opisane w komunikacie.
Search & fact-check with cited sources for What is the joint advisory issued by U.SAI-generated editorial hero image for the article on the July 2025 joint advisory warning about the LAUNDRY BEAR threat group exploiting CVE-2025-66376 in Zimbra Collaboration Suite.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the joint advisory issued by U.S. and allied cybersecurity agencies in July 2025 warning. Article summary: All key facts are confirmed from the primary advisory source and authoritative reporting. Here is the full fact-checked summary.. Topic tags: general, government, general web, user generated, education. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. M
openai.com
23 lipca 2026 roku amerykańska Agencja Bezpieczeństwa Narodowego (NSA), Federalne Biuro Śledcze (FBI), Agencja ds. Cyberbezpieczeństwa i Infrastruktury (CISA) oraz międzynarodowi partnerzy opublikowali wspólne zalecenie cyberbezpieczeństwa zatytułowane „Russian State-Supported Cyber Actors Conduct Phishing Campaign Targeting Users of Zimbra Collaboration Suite” (TLP:CLEAR, wersja 1.0) . Dokument został współpodpisany przez agencje z 16 krajów, w tym z USA, Holandii, Australii, Kanady, Nowej Zelandii, Wielkiej Brytanii, Czech, Danii, Estonii, Finlandii, Francji, Włoch, Mołdawii, Polski, Hiszpanii i Szwecji .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Rosyjscy hakerzy kradną maile i kody 2FA bez kliknięcia. Ostrzeżenie dla użytkowników Zimbra"?
23 lipca 2026 roku NSA, FBI, CISA oraz agencje z 16 państw opublikowały wspólne ostrzeżenie przed grupą LAUNDRY BEAR, która wykorzystuje lukę CVE 2025 66376 w Zimbra Collaboration Suite – exploit typu zero click pozwa...
What are the key points to validate first?
23 lipca 2026 roku NSA, FBI, CISA oraz agencje z 16 państw opublikowały wspólne ostrzeżenie przed grupą LAUNDRY BEAR, która wykorzystuje lukę CVE 2025 66376 w Zimbra Collaboration Suite – exploit typu zero click pozwa... Luka dotyczy wersji Zimbra 10.0.x przed 10.0.18 oraz 10.1.x przed 10.1.13. Łatka została wydana w listopadzie 2025 roku, ale ataki na niezaktualizowane systemy wciąż trwają.
What should I do next in practice?
Organizacje powinny natychmiast zaktualizować Zimbrę, przejść na nowoczesny interfejs (Modern UI) i monitorować wskaźniki kompromitacji (IOC) opisane w komunikacie.
Rosyjscy hakerzy kradną maile i kody 2FA bez kliknięcia. Ostrzeżenie dla użytkowników Zimbra
23 lipca 2026 roku NSA, FBI, CISA oraz agencje z 16 państw opublikowały wspólne ostrzeżenie przed grupą LAUNDRY BEAR, która wykorzystuje lukę CVE 2025 66376 w Zimbra Collaboration Suite – exploit typu zero click pozwa... Luka dotyczy wersji Zimbra 10.0.x przed 10.0.18 oraz 10.1.x przed 10.1.13.
Opublikowane przezEdytowane za pomocą DeepSeek-V4-FlashObrazy wygenerowane za pomocą GPT Image 1.5
23 lipca 2026 roku NSA, FBI, CISA oraz agencje z 16 państw opublikowały wspólne ostrzeżenie przed grupą LAUNDRY BEAR, która wykorzystuje lukę CVE 2025 66376 w Zimbra Collaboration Suite – exploit typu zero click pozwa...
Luka dotyczy wersji Zimbra 10.0.x przed 10.0.18 oraz 10.1.x przed 10.1.13. Łatka została wydana w listopadzie 2025 roku, ale ataki na niezaktualizowane systemy wciąż trwają.
Organizacje powinny natychmiast zaktualizować Zimbrę, przejść na nowoczesny interfejs (Modern UI) i monitorować wskaźniki kompromitacji (IOC) opisane w komunikacie.
Search & fact-check with cited sources for What is the joint advisory issued by U.SAI-generated editorial hero image for the article on the July 2025 joint advisory warning about the LAUNDRY BEAR threat group exploiting CVE-2025-66376 in Zimbra Collaboration Suite.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the joint advisory issued by U.S. and allied cybersecurity agencies in July 2025 warning. Article summary: All key facts are confirmed from the primary advisory source and authoritative reporting. Here is the full fact-checked summary.. Topic tags: general, government, general web, user generated, education. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. M
openai.com
23 lipca 2026 roku amerykańska Agencja Bezpieczeństwa Narodowego (NSA), Federalne Biuro Śledcze (FBI), Agencja ds. Cyberbezpieczeństwa i Infrastruktury (CISA) oraz międzynarodowi partnerzy opublikowali wspólne zalecenie cyberbezpieczeństwa zatytułowane „Russian State-Supported Cyber Actors Conduct Phishing Campaign Targeting Users of Zimbra Collaboration Suite” (TLP:CLEAR, wersja 1.0) . Dokument został współpodpisany przez agencje z 16 krajów, w tym z USA, Holandii, Australii, Kanady, Nowej Zelandii, Wielkiej Brytanii, Czech, Danii, Estonii, Finlandii, Francji, Włoch, Mołdawii, Polski, Hiszpanii i Szwecji .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Rosyjscy hakerzy kradną maile i kody 2FA bez kliknięcia. Ostrzeżenie dla użytkowników Zimbra"?
23 lipca 2026 roku NSA, FBI, CISA oraz agencje z 16 państw opublikowały wspólne ostrzeżenie przed grupą LAUNDRY BEAR, która wykorzystuje lukę CVE 2025 66376 w Zimbra Collaboration Suite – exploit typu zero click pozwa...
What are the key points to validate first?
23 lipca 2026 roku NSA, FBI, CISA oraz agencje z 16 państw opublikowały wspólne ostrzeżenie przed grupą LAUNDRY BEAR, która wykorzystuje lukę CVE 2025 66376 w Zimbra Collaboration Suite – exploit typu zero click pozwa... Luka dotyczy wersji Zimbra 10.0.x przed 10.0.18 oraz 10.1.x przed 10.1.13. Łatka została wydana w listopadzie 2025 roku, ale ataki na niezaktualizowane systemy wciąż trwają.
What should I do next in practice?
Organizacje powinny natychmiast zaktualizować Zimbrę, przejść na nowoczesny interfejs (Modern UI) i monitorować wskaźniki kompromitacji (IOC) opisane w komunikacie.
Rosyjska grupa APT wspierana przez państwo jest śledzona jako LAUNDRY BEAR – nazwa ta została po raz pierwszy użyta przez holenderskie służby AIVD i MIVD . Działalność grupy trwa co najmniej od lipca 2025 roku . Ataki są oceniane jako szpiegostwo na rzecz Federacji Rosyjskiej, z „szeroko zakrojonym celowaniem w Ukrainę, zanim zaczęto uderzać w USA i innych sojuszników NATO” – Ukraina została wykorzystana jako „poligon doświadczalny dla złośliwych technik cybernetycznych przed szerszym globalnym wdrożeniem” . Zaatakowane sektory obejmują obronność, edukację, energetykę, organy ścigania, media, finanse, transport i technologię.
Podatność: CVE-2025-66376
CVE-2025-66376 to podatność na trwałe skrypty krzyżowe (stored XSS) w klasycznym interfejsie Zimbra Collaboration Suite (ZCS), spowodowana nadużyciem dyrektyw CSS @import w wiadomościach e-mail w formacie HTML . Luka dotyczy wersji ZCS 10.0.x przed 10.0.18 oraz 10.1.x przed 10.1.13. Zimbra wydała łatkę w listopadzie 2025 roku. Wynik CVSS jest podawany jako 7,2 (wysoki) przez niektóre źródła lub 6,1 (średni) przez inne . CISA dodała tę lukę do swojego katalogu znanych podatności wykorzystywanych w marcu 2026 roku .
Mechanizm exploita zero-click
Jest to exploit typu zero-click / view-based: nie wymaga żadnej interakcji użytkownika poza otwarciem (wyświetleniem) złośliwej wiadomości e-mail – nie trzeba klikać w linki ani otwierać załączników . Po uruchomieniu niestandardowy kod JavaScript jest dostarczany do przeglądarki ofiary za pośrednictwem trwałego XSS .
Jakie dane są kradzione
Exploit celuje w :
Ostatnie 90 dni korespondencji e-mail
Katalog e-mailowy organizacji (Global Address List / GAL)
Hasła do kont (poprzez zbieranie autouzupełniania przeglądarki)
Kody zapasowe 2FA oraz nowo utworzone hasła aplikacyjne
Historię wyszukiwania i tokeny sesji
Własne narzędzie: „beehive”
Własne narzędzie grupy do eksfiltracji i agregacji danych nosi nazwę „beehive”. Urzędnicy ostrzegli, że grupa prawdopodobnie będzie w stanie dostosować i ponownie wykorzystać to narzędzie do atakowania innych podatności . Zalecenie opisuje wieloetapową architekturę eksfiltracji wykorzystującą zarówno HTTPS, jak i tunelowanie DNS (za pomocą narzędzia o nazwie „Ulej” z komponentem serwerowym „Flowerbed”), przy czym zapytania DNS są strukturyzowane zgodnie z RFC 1035 i kodowane w base32 .
Zalecane działania dla organizacji
Zalecenie wzywa organizacje do :
Aktualizacji Zimbra – natychmiastowe przejście do wersji ZCS 10.0.18 / 10.1.13 lub nowszej.
Sprawdzenia wskaźników kompromitacji (IOC) – są one zawarte w zaleceniu, aby wykryć ataki.
Monitorowania podejrzanej aktywności uwierzytelniania – w tym nietypowych żądań SOAP, nowych haseł aplikacyjnych i wzorców eksfiltracji przez DNS.
Unikania korzystania z klasycznego klienta poczty, jeśli aktualizacja nie jest możliwa (przejście do nowoczesnego interfejsu Modern UI, który nie jest podatny na tę lukę).
Wdrożenia dodatkowych zabezpieczeń, w tym monitorowania sieci i przeglądu MFA.
Kluczowe zastrzeżenia
Luka była wykorzystywana jako zero-day przez około pięć miesięcy (od lipca do listopada 2025 roku), zanim pojawiły się łatki, a grupa nadal aktywnie atakuje niezaktualizowane instalacje. Zalecenie ocenia tę działalność jako „prawie na pewno” rosyjskie szpiegostwo wspierane przez państwo – nigdy nie zaobserwowano motywu wymuszeń finansowych .
Rosyjska grupa APT wspierana przez państwo jest śledzona jako LAUNDRY BEAR – nazwa ta została po raz pierwszy użyta przez holenderskie służby AIVD i MIVD . Działalność grupy trwa co najmniej od lipca 2025 roku . Ataki są oceniane jako szpiegostwo na rzecz Federacji Rosyjskiej, z „szeroko zakrojonym celowaniem w Ukrainę, zanim zaczęto uderzać w USA i innych sojuszników NATO” – Ukraina została wykorzystana jako „poligon doświadczalny dla złośliwych technik cybernetycznych przed szerszym globalnym wdrożeniem” . Zaatakowane sektory obejmują obronność, edukację, energetykę, organy ścigania, media, finanse, transport i technologię.
Podatność: CVE-2025-66376
CVE-2025-66376 to podatność na trwałe skrypty krzyżowe (stored XSS) w klasycznym interfejsie Zimbra Collaboration Suite (ZCS), spowodowana nadużyciem dyrektyw CSS @import w wiadomościach e-mail w formacie HTML . Luka dotyczy wersji ZCS 10.0.x przed 10.0.18 oraz 10.1.x przed 10.1.13. Zimbra wydała łatkę w listopadzie 2025 roku. Wynik CVSS jest podawany jako 7,2 (wysoki) przez niektóre źródła lub 6,1 (średni) przez inne . CISA dodała tę lukę do swojego katalogu znanych podatności wykorzystywanych w marcu 2026 roku .
Mechanizm exploita zero-click
Jest to exploit typu zero-click / view-based: nie wymaga żadnej interakcji użytkownika poza otwarciem (wyświetleniem) złośliwej wiadomości e-mail – nie trzeba klikać w linki ani otwierać załączników . Po uruchomieniu niestandardowy kod JavaScript jest dostarczany do przeglądarki ofiary za pośrednictwem trwałego XSS .
Jakie dane są kradzione
Exploit celuje w :
Ostatnie 90 dni korespondencji e-mail
Katalog e-mailowy organizacji (Global Address List / GAL)
Hasła do kont (poprzez zbieranie autouzupełniania przeglądarki)
Kody zapasowe 2FA oraz nowo utworzone hasła aplikacyjne
Historię wyszukiwania i tokeny sesji
Własne narzędzie: „beehive”
Własne narzędzie grupy do eksfiltracji i agregacji danych nosi nazwę „beehive”. Urzędnicy ostrzegli, że grupa prawdopodobnie będzie w stanie dostosować i ponownie wykorzystać to narzędzie do atakowania innych podatności . Zalecenie opisuje wieloetapową architekturę eksfiltracji wykorzystującą zarówno HTTPS, jak i tunelowanie DNS (za pomocą narzędzia o nazwie „Ulej” z komponentem serwerowym „Flowerbed”), przy czym zapytania DNS są strukturyzowane zgodnie z RFC 1035 i kodowane w base32 .
Zalecane działania dla organizacji
Zalecenie wzywa organizacje do :
Aktualizacji Zimbra – natychmiastowe przejście do wersji ZCS 10.0.18 / 10.1.13 lub nowszej.
Sprawdzenia wskaźników kompromitacji (IOC) – są one zawarte w zaleceniu, aby wykryć ataki.
Monitorowania podejrzanej aktywności uwierzytelniania – w tym nietypowych żądań SOAP, nowych haseł aplikacyjnych i wzorców eksfiltracji przez DNS.
Unikania korzystania z klasycznego klienta poczty, jeśli aktualizacja nie jest możliwa (przejście do nowoczesnego interfejsu Modern UI, który nie jest podatny na tę lukę).
Wdrożenia dodatkowych zabezpieczeń, w tym monitorowania sieci i przeglądu MFA.
Kluczowe zastrzeżenia
Luka była wykorzystywana jako zero-day przez około pięć miesięcy (od lipca do listopada 2025 roku), zanim pojawiły się łatki, a grupa nadal aktywnie atakuje niezaktualizowane instalacje. Zalecenie ocenia tę działalność jako „prawie na pewno” rosyjskie szpiegostwo wspierane przez państwo – nigdy nie zaobserwowano motywu wymuszeń finansowych .
