USA og allierte advarer om russiske hackere som utnytter Zimbra-sårbarhet

Amerikanske og allierte cybersikkerhetsmyndigheter utstedte torsdag en felles advarsel om at den russisk-støttede trusselen Laundry Bear har utnyttet en sårbarhet i Zimbra Collaboration Suite for å stjele sensitive e-postdata fra vestlige myndigheter og kommersielle organisasjoner siden juli 2025.Facebookapp+1

Advarselen, som er medforfattet av NSA, CISA, FBI og cyberetater fra 15 andre land inkludert Storbritannia, Australia, Canada og Nederland, beskriver en kampanje som ikke krever annen brukerinteraksjon enn å se på en skadelig e-post.CyberScoop+1

En nullklikksutnyttelse

Laundry Bear, også sporet som Void Blizzard, utnytter CVE-2025-66376, en lagret tverrnettstedsfeil i Zimbras klassiske grensesnitt som lar skadelig JavaScript innebygd i HTML-e-poster kjøre automatisk når et offer ser på meldingen. Sårbarheten, som berører Zimbra Collaboration Suite versjon 10.0.x før 10.0.18 og 10.1.x før 10.1.13, ble ikke tettet før i november 2025, fem måneder etter at utnyttelsen begynte.SentinelOne+2

Utnyttelsen gjør det mulig for angripere å stjele opptil 90 dagers e-post, kontopassord, søkehistorikk, organisasjonens e-postkatalog og totrunnsautentiseringstokener. Tjenestemenn beskrev en egendefinert dataeksfiltrerings- og aggregeringskapasitet kalt beehive som potensielt kan tilpasses for å utnytte andre sårbarheter.BleepingComputer+1

Bredere kontekst

Laundry Bear har vært aktiv siden minst 2024 og ble først offentlig identifisert av nederlandsk etterretning og Microsoft ↗ 0.20% i mai 2025. Gruppen har kompromittert Mål på tvers av sektorene for forsvar, utdanning, energi, rettshåndhevelse, media, finans, transport og teknologi.Theregister+2

Myndighetene bemerket at kampanjen først rettet seg mot ukrainske organisasjoner før den utvidet seg til USA og NATO-allierte, et mønster som blir stadig vanligere blant russiske cybertrusselgrupper. Gruppen utnytter fortsatt aktive, utette Zimbra-forekomster, sa myndighetene.CyberScoop+1

Anbefalte tiltak

Etater oppfordret organisasjoner til umiddelbart å oppdatere Zimbra til patchede versjoner, gjennomgå indikatorer på kompromittering som deles i advarselen, og overvåke mistenkelig autentiseringsaktivitet. Organisasjoner som ikke kan patche bør unngå å bruke den klassiske nettpostklienten og vurdere alternative e-postklienter til systemene er oppdatert.Facebookapp+1

"Den skjulte og vedvarende naturen til denne aktiviteten, sammen med fraværet av enhver kjent økonomisk utpressing, indikerer nesten helt sikkert denne gruppens involvering i spionasjeaktiviteter med russisk myndighetsstøtte," heter det i advarselen.CyberScoop