Yhdysvallat ja liittolaiset varoittavat venäläishakkereiden hyödyntävän Zimbra-aukkoa

Yhdysvaltalaiset ja liittokuntien kyberturvallisuusvirastot antoivat torstaina yhteisen varoituksen, jonka mukaan Venäjän valtion tukema kyberuhkata ryhmä Laundry Bear on hyödyntänyt Zimbra Collaboration Suite -ohjelmiston haavoittuvuutta varastaakseen arkaluonteisia sähköpostitietoja Länsi-maiden hallituksilta ja yrityksiltä heinäkuusta 2025 lähtien.Facebookapp+1

Varoitus, jonka ovat laatineet yhdessä NSA, CISA, FBI sekä kybervirastot 15 muusta maasta, kuten Iso-Britanniasta, Australiasta, Kanadasta ja Alankomaista, kuvaa kampanjaa, joka ei vaadi käyttäjältä muuta toimintaa kuin haitallisen sähköpostin katsomisen.CyberScoop+1

Nolla-klikkauksen hyökkäys

Laundry Bear, joka tunnetaan myös nimellä Void Blizzard, hyödyntää CVE-2025-66376-haavoittuvuutta. Kyseessä on Zimbran perinteisen käyttöliittymän tallennettu sivustojen välinen komentosarjavirhe, jonka ansiosta HTML-sähköposteihin upotettu haitallinen JavaScript-koodi suoritetaan automaattisesti uhrin katsoessa viestiä. Haavoittuvuus koskee Zimbra Collaboration Suite -versioita 10.0.x ennen versiota 10.0.18 ja 10.1.x ennen versiota 10.1.13. Sitä ei paikattu ennen marraskuuta 2025, eli viisi kuukautta hyökkäysten alkamisen jälkeen.SentinelOne+2

Hyökkäys mahdollistaa sen, että hyökkääjät voivat varastaa jopa 90 päivän sähköpostit, tilien salasanat, hakuhistorian, organisaation sähköpostiosoitteiston sekä kaksivaiheisen tunnistuksen tunnukset. Viranomaiset kuvasivat mukautettua tiedonkeruu- ja siirtotyökalua nimeltä beehive, jota voidaan mahdollisesti mukauttaa myös muiden haavoittuvuuksien hyödyntämiseen.BleepingComputer+1

Laajempi tausta

Laundry Bear on ollut aktiivinen ainakin vuodesta 2024 lähtien, ja Alankomaiden tiedustelupalvelu sekä Microsoft ↗ 0.20% tunnistivat sen julkisesti toukokuussa 2025. Ryhmä on soluttautunut kohteisiin puolustus-, koulutus-, energia-, lainvalvonta-, media-, rahoitus-, kuljetus- ja teknologia-aloilla.Theregister+2

Viranomaiset huomauttasivat, että kampanja kohdistui aluksi ukrainalaisiin organisaatioihin ennen laajenemistaan Yhdysvaltoihin ja Naton liittolaisiin. Tämä on yhä yleisempi toimintatapa Venäjän kyberuhkaryhmien keskuudessa. Ryhmä hyödyntää edelleen aktiivisesti paikkaamattomia Zimbra-asennuksia, viranomaiset kertoivat.CyberScoop+1

Suositellut toimet

Virastot kehottavat organisaatioita päivittämään Zimbran välittömästi korjattuihin versioihin, tarkistamaan varoituksessa jaetut vaarantumisen merkit ja valvomaan epäilyttävää tunnistustoimintaa. Organisaatioiden, jotka eivät voi päivittää järjestelmäänsä, tulisi välttää perinteisen sähköpostiasiakkaan käyttöä ja harkita vaihtoehtoisia sähköpostisovelluksia, kunnes järjestelmät on päivitetty.Facebookapp+1

"Tämän toiminnan salainen ja pitkäjänteinen luonne sekä tunnettujen taloudellisten kiristysyritysten puuttuminen osoittavat lähes varmasti ryhmän osallistuvan Venäjän hallituksen tukemiin vakoiluoperaatioihin", varoituksessa todetaan.CyberScoop