ABD ve müttefiklerinden Rus korsanların Zimbra açığını kullandığına dair uyarı

ABD ve müttefik ülkelerin siber güvenlik ajansları Perşembe günü yaptıkları ortak açıklamada, Rusya destekli Laundry Bear tehdit grubunun Temmuz 2025'ten bu yana Batılı hükümetlerin ve ticari kuruluşların hassas e-posta verilerini çalmak için Zimbra Collaboration Suite'teki bir açığı kullandığı konusunda uyardı.Facebookapp+1

NSA, CISA, FBI ve aralarında Birleşik Krallık, Avustralya, Kanada ile Hollanda'nın da bulunduğu 15 ülkenin siber ajansları tarafından ortaklaşa hazırlanan uyarı, kötü amaçlı bir e-postayı görüntülemek dışında hiçbir kullanıcı etkileşimi gerektirmeyen bir kampanyayı gözler önüne seriyor.CyberScoop+1

Sıfır Tıklama Açığı

Void Blizzard olarak da bilinen Laundry Bear, kurban mesajı görüntülediğinde HTML e-postalarına gömülü kötü amaçlı JavaScript'in otomatik olarak çalışmasına izin veren Zimbra Classic UI'daki depolanmış siteler arası komut dosyası çalıştırma açığı CVE-2025-66376'yı istismar ediyor. Zimbra Collaboration Suite'in 10.0.18 öncesi 10.0.x ve 10.1.13 öncesi 10.1.x sürümlerini etkileyen açık, istismarın başlamasından beş ay sonra, Kasım 2025'e kadar yamalanmamıştı.SentinelOne+2

Bu açık, saldırganların 90 güne kadar olan e-postaları, hesap şifrelerini, arama geçmişini, kuruluşun e-posta dizinini ve iki aşamalı kimlik doğrulama belirteçlerini çalmasını sağlıyor. Yetkililer, beehive adı verilen ve potansiyel olarak diğer açıkවı istismar etmek üzere uyarlanabilecek özel bir veri sızdırma ve toplama yeteneğini tanımladı.BleepingComputer+1

Geniş Bağlam

Laundry Bear en az 2024'ten beri faaliyette ve ilk olarak Mayıs 2025'te Hollanda istihbarat servisleri ile Microsoft ↘ 2.24% tarafından kamuoyuna duyuruldu. Grup; savunma, eğitim, enerji, kolluk kuvvetleri, medya, finans, ulaşım ve teknoloji sektörlerindeki hedefleri tehlikeye attı.Theregister+2

Yetkililer, kampanyanın ABD ve NATO müttefiklerine genişlemeden önce ilk olarak Ukraynalı kuruluşları hedef aldığını, bunun Rus siber tehdit grupları arasında giderek yaygınlaşan bir örüntü olduğunu belirtti. Yetkililer grubun yamalanmamış Zimbra örneklerini aktif olarak istismar etmeye devam ettiğini söyledi.CyberScoop+1

Önerilen Eylemler

Ajanslar, kuruluşlara Zimbra'yı derhal yamalı sürümlere güncellemelerini, uyarıda paylaşılan güvenlik ihlali göstergelerini incelemelerini ve şüpheli kimlik doğrulama faaliyetlerini izlemelerini şiddetle tavsiye etti. Yamalayamayan kuruluşlar, Classic web postası istemcisini kullanmaktan kaçınmalı ve sistemler güncellenene kadar alternatif e-posta istemcilerini değerlendirmelidir.Facebookapp+1

Uyarıda, "Bu faaliyetin gizli ve kalıcı doğası, bilinen herhangi bir finansal şantajın bulunmamasıyla birlikte, bu grubun Rus hükümetinin desteğiyle casusluk faaliyetlerine karıştığını neredeyse kesin olarak göstermektedir" denildi.CyberScoop