零点击攻击：俄罗斯 APT 组织 LAUNDRY BEAR 利用 Zimbra 漏洞窃取邮件和双因素认证码

零点击利用机制

这是一个 零点击/基于查看的漏洞利用：除了打开（查看）一封恶意邮件外，无需任何用户交互——无需点击链接或打开附件。触发后，一个定制的 JavaScript 负载会通过存储型 XSS 被传送至受害者的浏览器。

被窃取的数据

该漏洞利用的目标包括：

• 近90天的电子邮件通信
• 组织邮件目录（全局地址列表 / GAL）
• 账户密码（通过浏览器自动填充功能窃取）
• 双因素认证（2FA）备用码以及新创建的应用程序专用密码
• 搜索历史和会话令牌

定制能力：“beehive”

该组织定制的数据窃取和聚合能力被称为 “beehive”。官员们警告说，该组织很可能会调整并重复利用这一能力来利用其他漏洞。该警告详细描述了一个多阶段的数据窃取架构，同时使用 HTTPS 和 DNS 隧道（通过一个名为“Ulej”的工具和名为“Flowerbed”的服务器组件实现），DNS 查询按照 RFC 1035 标准构建并采用 base32 编码的负载。

建议组织采取的行动

该警告敦促组织：

1. 修补 Zimbra —— 立即更新至 ZCS 10.0.18 / 10.1.13 或更高版本。
2. 检查入侵指标（IOC） —— 警告中提供了这些指标，用于检测漏洞利用行为。
3. 监控可疑的认证活动 —— 包括异常的 SOAP 请求、新创建的应用程序密码以及 DNS 窃取模式。
4. 如果无法修补，请避免使用经典 Webmail 客户端（切换至不受此漏洞影响的现代 UI）。
5. 实施额外的缓解措施，包括网络监控和多因素认证（MFA）审查。

关键注意事项

该漏洞在被修复前，已作为 零日漏洞被利用了大约五个月（2025年7月至11月），并且该组织 仍在积极利用未修补的实例。该警告评估认为，此活动“几乎可以肯定”是俄罗斯国家支持的间谍活动——从未观察到任何财务勒索的动机。