LAUNDRY BEAR: grupo russo explora falha zero-click no Zimbra e rouba e-mails, senhas e tokens 2FA

A Vulnerabilidade: CVE-2025-66376

A CVE-2025-66376 é uma vulnerabilidade de cross-site scripting (XSS) armazenado na interface Classic UI do Zimbra Collaboration Suite (ZCS), causada pelo abuso de diretivas CSS @import em mensagens de e-mail HTML . Ela afeta o ZCS 10.0.x anterior à versão 10.0.18 e o 10.1.x anterior à versão 10.1.13 . A correção foi lançada pela Zimbra em novembro de 2025 . A pontuação CVSS varia entre 7.2 (Alta) e 6.1 (Média) . A CISA adicionou a falha ao seu Catálogo de Vulnerabilidades Exploradas Conhecidas em março de 2026 .

Mecanismo de Exploração Zero-Click

Esta é uma exploração zero-click / baseada em visualização: nenhuma interação do usuário além de abrir (visualizar) um e-mail malicioso é necessária — não é preciso clicar em links ou abrir anexos . Uma vez acionado, um payload JavaScript personalizado é entregue ao navegador da vítima por meio do XSS armazenado .

Quais Dados São Roubados

O exploit tem como alvo :

• Últimos 90 dias de comunicações por e-mail
• Diretório de e-mail da organização (Lista de Endereços Global / GAL)
• Senhas da conta (via coleta de preenchimento automático do navegador)
• Códigos de recuperação 2FA e senhas de aplicativo recém-criadas
• Histórico de pesquisa e tokens de sessão

Capacidade Personalizada: "beehive"

A capacidade personalizada de exfiltração e agregação de dados do grupo é chamada de "beehive" . Autoridades alertaram que o grupo provavelmente poderia adaptar e reutilizar essa capacidade para explorar outras vulnerabilidades . O advisory detalha uma arquitetura de exfiltração em vários estágios usando HTTPS e DNS tunneling (por meio de uma ferramenta chamada "Ulej" com um componente de servidor "Flowerbed"), com consultas DNS estruturadas conforme RFC 1035 e payloads codificados em base32 .

Ações Recomendadas para Organizações

O advisory recomenda que as organizações :

1. Corrijam o Zimbra — Atualizem para ZCS 10.0.18 / 10.1.13 ou versões posteriores imediatamente.
2. Revisem os Indicadores de Comprometimento (IOCs) — Fornecidos no advisory para detectar a exploração.
3. Monitorem atividades de autenticação suspeitas — Incluindo requisições SOAP incomuns, novas senhas de aplicativo e padrões de exfiltração por DNS.
4. Evitem usar o cliente Classic webmail se não puderem aplicar o patch (mudem para a interface Modern UI, que não é afetada por esta vulnerabilidade).
5. Implementem mitigações adicionais, incluindo monitoramento de rede e revisão do MFA.

Principais Riscos

A vulnerabilidade foi explorada como zero-day por cerca de cinco meses (julho a novembro de 2025) antes da liberação dos patches, e o grupo continua a explorar ativamente instâncias não corrigidas . O advisory classifica a atividade como "quase certamente" espionagem apoiada pelo Estado russo — nenhum motivo de extorsão financeira foi observado .