USA und Alliierte warnen vor russischen Hackern bei Zimbra-Schwachstelle

US-amerikanische und alliierte Cybersicherheitsbehörden gaben am Donnerstag einen gemeinsamen Warnhinweis heraus, wonach die vom russischen Staat unterstützte Bedrohungsgruppe Laundry Bear seit Juli 2025 eine Schwachstelle in der Zimbra Collaboration Suite ausnutzt, um sensible E-Mail-Daten von westlichen Regierungen und kommerziellen Organisationen zu stehlen.Facebookapp+1

Der Warnhinweis, der gemeinsam von NSA, CISA, FBI und Cyberbehörden aus 15 anderen Ländern einschließlich Großbritannien, Australien, Kanada und den Niederlanden verfasst wurde, beschreibt eine Kampagne, die abgesehen vom Betrachten einer bösartigen E-Mail keine Benutzerinteraktion erfordert.CyberScoop+1

Ein Zero-Click-Exploit

Laundry Bear, auch unter dem Namen Void Blizzard verfolgt, nutzt CVE-2025-66376 aus, eine gespeicherte Cross-Site-Scripting-Schwachstelle in der klassischen Benutzeroberfläche von Zimbra, die es bösartigem JavaScript in HTML-E-Mails ermöglicht, sich automatisch auszuführen, wenn ein Opfer die Nachricht ansieht. Die Schwachstelle, die die Zimbra Collaboration Suite in den Versionen 10.0.x vor 10.0.18 und 10.1.x vor 10.1.13 betrifft, wurde erst im November 2025 und damit fünf Monate nach Beginn der Ausnutzung gepatcht.SentinelOne+2

Der Exploit versetzt Angreifer in die Lage, E-Mails aus bis zu 90 Tagen, Kontopasswörter, den Suchverlauf, das E-Mail-Verzeichnis der Organisation und Zwei-Faktor-Authentifizierungstoken zu stehlen. Behörden beschrieben eine benutzerdefinierte Datenexfiltrations- und Aggregationsfunktion namens beehive, die möglicherweise angepasst werden könnte, um andere Schwachstellen auszunutzen.BleepingComputer+1

Breiterer Kontext

Laundry Bear ist seit mindestens 2024 aktiv und wurde im Mai 2025 erstmals von niederländischen Geheimdiensten und Microsoft ↗ 0.05% öffentlich identifiziert. Die Gruppe hat Ziele in den Bereichen Verteidigung, Bildung, Energie, Strafverfolgung, Medien, Finanzen, Transport und Technologie kompromittiert.Theregister+2

Behörden wiesen darauf hin, dass die Kampagne zunächst auf ukrainische Organisationen abzielte, bevor sie sich auf die USA und NATO-Verbündete ausweitete, ein Muster, das unter russischen Cyberbedrohungsgruppen zunehmend üblich ist. Die Gruppe nutzt laut Behördenangaben weiterhin aktiv ungepatchte Zimbra-Instanzen aus.CyberScoop+1

Empfohlene Maßnahmen

Behörden forderten Organisationen auf, Zimbra unverzüglich auf gepatchte Versionen zu aktualisieren, die im Warnhinweis mitgeteilten Indikatoren für eine Kompromittierung zu überprüfen und auf verdächtige Authentifizierungsaktivitäten zu achten. Organisationen, die kein Patch einspielen können, sollten die Nutzung des klassischen Webmail-Clients vermeiden und bis zur Systemaktualisierung alternative E-Mail-Clients in Betracht ziehen.Facebookapp+1

"Die verdeckte und anhaltende Natur dieser Aktivität sowie das Fehlen jeglicher bekannter finanzieller Erpressung weisen fast mit Sicherheit auf die Beteiligung dieser Gruppe an Spionageaktivitäten mit russischer Regierungsunterstützung hin", heißt es in dem Warnhinweis.CyberScoop