Хакеры из России читают вашу почту: Zero-click атака на Zimbra через CVE-2025-66376

Уязвимость: CVE-2025-66376

CVE-2025-66376 — это уязвимость класса «хранимый межсайтовый скриптинг» (Stored XSS) в Classic UI Zimbra Collaboration Suite (ZCS). Она возникает из-за неправильной обработки CSS-директив @import в HTML-письмах . Уязвимы версии ZCS 10.0.x до 10.0.18 и 10.1.x до 10.1.13 . Патч был выпущен Zimbra в ноябре 2025 года . Оценка CVSS варьируется: 7,2 (высокий) по данным одних источников и 6,1 (средний) по данным других . CISA добавила эту уязвимость в свой каталог известных эксплуатируемых уязвимостей (KEV) в марте 2026 года .

Механизм zero-click эксплуатации

Это zero-click / view-based эксплойт: для запуска атаки достаточно просто открыть (просмотреть) вредоносное письмо — не нужно нажимать на ссылки или открывать вложения . После срабатывания в браузер жертвы через хранимый XSS доставляется специально написанный JavaScript-код .

Какие данные похищаются

Эксплойт нацелен на :

• Последние 90 дней переписки
• Глобальный список адресов (GAL) организации
• Пароли от учетных записей (собираются через автозаполнение браузера)
• Scratch-коды двухфакторной аутентификации и недавно созданные пароли приложений
• Историю поиска и сессионные токены

Собственная разработка: «Beehive»

Собственное средство кражи и агрегации данных группировки называется «beehive» . Чиновники предупредили, что группировка может адаптировать и повторно использовать это средство для эксплуатации других уязвимостей . В бюллетене описывается многоэтапная архитектура кражи данных с использованием как HTTPS, так и DNS-туннелирования (через инструмент «Ulej» с серверным компонентом «Flowerbed»), где DNS-запросы структурированы в соответствии с RFC 1035 и содержат полезные данные в кодировке base32 .

Рекомендованные меры для организаций

Бюллетень настоятельно рекомендует организациям :

1. Установить обновления Zimbra — немедленно перейти на версии ZCS 10.0.18 / 10.1.13 или более новые.
2. Проверить индикаторы компрометации (IOCs) — перечисленные в бюллетене, чтобы выявить факт эксплуатации.
3. Отслеживать подозрительную активность аутентификации — включая необычные SOAP-запросы, новые пароли приложений и паттерны DNS-кражи данных.
4. Не использовать Classic webmail-клиент при невозможности установки патча (переключиться на Modern UI, который не подвержен этой уязвимости).
5. Внедрить дополнительные меры защиты, включая мониторинг сети и проверку настроек многофакторной аутентификации.

Ключевые моменты

Уязвимость эксплуатировалась как zero-day около пяти месяцев (с июля по ноябрь 2025 года) до выхода патчей, и группировка продолжает активно эксплуатировать незащищенные системы . В бюллетене эта деятельность оценивается как «почти наверняка» российский государственный шпионаж — финансовое вымогательство никогда не было целью .