LAUNDRY BEAR 零點擊Zimbra漏洞：一封郵件就能竊取你的密碼與2FA驗證碼

威脅組織：LAUNDRY BEAR

此俄羅斯國家支持的APT組織追蹤名稱為 LAUNDRY BEAR，該名稱最初由荷蘭情報與安全總局（AIVD）及軍事情報與安全局（MIVD）所提出。此威脅活動至少從 2025年7月 就已開始。

該組織的攻擊目標主要是為了俄羅斯聯邦的間諜活動，且具有「廣泛的烏克蘭目標，之後才擴展至美國及其他北約盟國」——烏克蘭被用作「惡意網路技術在全球部署前的試驗場」。受影響的產業包括 國防、教育、能源、執法、媒體、金融、交通與科技。

漏洞：CVE-2025-66376

CVE-2025-66376 是Zimbra Collaboration Suite（ZCS）Classic UI中的一個儲存型跨站腳本（XSS）漏洞，起因於HTML郵件中CSS @import 指令被濫用。

• 受影響版本：ZCS 10.0.x 在 10.0.18 之前，以及 10.1.x 在 10.1.13 之前。Zimbra 在 2025年11月 發布了修補程式。
• CVSS分數：部分來源報告為 7.2（高風險），另一些則標為 6.1（中風險）。CISA在2026年3月將其列入已知被利用漏洞目錄。

零點擊漏洞機制

這是一個 零點擊/基於檢視（view-based）的漏洞：受害者不需要點擊任何連結或開啟附件，只需「查看」（在瀏覽器中開啟）那封惡意郵件即可觸發攻擊。一旦觸發，一個特製的JavaScript有效負載就會透過儲存型XSS傳送到受害者的瀏覽器。

竊取的資料

該漏洞會竊取的資料包括：

• 過去90天的郵件通訊
• 組織的電子郵件目錄（全域通訊錄GAL）
• 帳戶密碼（透過瀏覽器自動填寫功能竊取）
• 雙重驗證（2FA）備用碼及新建立的應用程式密碼
• 搜尋歷史與Session Token

自訂功能：「beehive」（蜂巢）

該組織自訂的資料竊取與彙總能力稱為 「beehive」。官員警告，該組織很可能可以調整並重複使用此能力來利用其他漏洞。警告中詳細說明了使用 HTTPS 和 DNS隧道（透過一款名為「Ulej」的工具，搭配名為「Flowerbed」的伺服器元件）的多階段資料竊取架構，其中DNS查詢遵循RFC 1035格式，並使用Base32編碼的負載。

建議組織採取的行動

警告強烈建議組織：

1. 立即修補Zimbra — 更新至ZCS 10.0.18 或 10.1.13 或之後的版本。
2. 檢查入侵指標（IOCs） — 警告中提供了相關IOC以偵測是否已被入侵。
3. 監控可疑的驗證活動 — 包括異常的SOAP請求、新的應用程式密碼以及DNS資料外洩模式。
4. 無法修補時，避免使用Classic網頁郵件客戶端（應切換至Modern UI，此介面不受此漏洞影響）。
5. 實施其他緩解措施，包括網路監控與檢討MFA設定。

關鍵注意事項

此漏洞在修補程式發布前，已被作為 零時差漏洞利用了約五個月（2025年7月至11月），且該組織 仍在持續攻擊未修補的系統。該警告評估此活動「幾乎確定」是俄羅斯國家支持的間諜活動——從未觀察到任何金融勒索動機。