Zimbra-Zero-Click-Schwachstelle bei russischen E-Mail-Diebstahlangriffen ausgenutzt

Russisch unterstützte Hacker haben eine bereits gepatchte Zimbra-Zero-Click-Schwachstelle genutzt, um E-Mails, Zugangsdaten und Multi-Faktor-Authentifizierungs-Token von gezielt ausgewählten Organisationen zu stehlen.

Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) erklärt, dass die Gruppe Laundry Bear, auch bekannt als Void Blizzard, die Zimbra-Schwachstelle mit Phishing-Angriffen kombiniert, die legitime E-Mail-Anmeldeseiten nachahmen.

Zimbra-Zero-Click-Schwachstelle stiehlt Postfachdaten

Die Angreifer nutzen CVE-2025-66376, eine Cross-Site-Scripting-Schwachstelle (XSS) in der Classic UI der Zimbra Collaboration Suite.

Eine speziell präparierte HTML-E-Mail kann eingebetteten JavaScript-Code automatisch ausführen, sobald der Empfänger die Nachricht öffnet. Dadurch können die Angreifer Kontodaten sammeln, ohne dass das Opfer auf einen Link klicken oder eine Phishing-Website besuchen muss.

Laundry Bear soll die Zimbra-Zero-Click-Schwachstelle bereits ausgenutzt haben, bevor Zimbra im November 2025 einen Patch veröffentlichte. Die Gruppe greift weiterhin Organisationen an, die das verfügbare Update noch nicht installiert haben.

CISA hat die Schwachstelle zudem als aktiv ausgenutzt eingestuft.

Angreifer stehlen E-Mails und MFA-Token

Nach Angaben der CISA kann der Schadcode die E-Mails der letzten 90 Tage, die E-Mail-Adresse, das Passwort, Einträge aus der Global Address List sowie Token für die Zwei-Faktor-Authentifizierung des Opfers erfassen.

Die Angreifer erstellen außerdem einen neuen Zimbra-Anwendungscode und senden ihn an ihre eigene Infrastruktur zurück. Diese Anwendungscodes unterstützen ältere E-Mail-Clients wie IMAP und ActiveSync, die keine zeitbasierten Einmalpasswörter verwenden.

Durch das Erstellen eines Anwendungscodes kann die Gruppe dauerhaft auf das Konto zugreifen und gleichzeitig den Schutz durch die Multi-Faktor-Authentifizierung umgehen.

Kleinere gestohlene Datenmengen werden über DNS-A-Record-Anfragen übertragen. Größere Datenmengen, darunter komplette Postfacharchive, werden per HTTPS an von den Angreifern kontrollierte Server gesendet, auf denen das Datensammel-Framework Flowerbed läuft.

Phishing-Seiten imitieren Zimbra-Anmeldeportale

Neben dem Exploit verwendet Laundry Bear sogenannte Adversary-in-the-Middle-(AiTM)-Phishing-Kits, die legitime Zimbra-Anmeldeseiten nachbilden. Ziel ist es, Zugangsdaten und Sitzungscookies der Nutzer zu stehlen.

CISA identifizierte mehrere Domains, die zur Nachahmung der Zimbra-Infrastruktur verwendet wurden, darunter mailnalysis.com, emailanalytics.com.ua, zimbrastat.com, zimbra-metadata.com, istc-cloud.com und zmailanalytics.com.

Die Behörde empfiehlt Zimbra-Administratoren, die neuesten Sicherheitsupdates zu installieren, veröffentlichte Kompromittierungsindikatoren zu überprüfen und Verbindungen zu den identifizierten Domains und IP-Adressen zu untersuchen.

Organisationen sollten außerdem ungewöhnliche Authentifizierungsaktivitäten überwachen, Konten auf unbefugten Postfachzugriff prüfen und verdächtige Anwendungscodes widerrufen, insbesondere solche mit der Bezeichnung „ZimbraWeb“. Darüber hinaus empfiehlt CISA den Einsatz phishing-resistenter Multi-Faktor-Authentifizierung, sofern diese verfügbar ist.

Laundry Bear greift NATO-Staaten und die Ukraine an

Die niederländischen Nachrichtendienste ordneten Laundry Bear im Mai 2025 öffentlich russischen Cyber-Spionageaktivitäten zu. Die Gruppe wurde mit der Kompromittierung der niederländischen Nationalpolizei im Jahr 2024 in Verbindung gebracht, bei der personenbezogene Daten von Polizeibeschäftigten offengelegt wurden.

Microsoft verfolgt denselben Bedrohungsakteur unter dem Namen Void Blizzard. Seit mindestens 2024 konzentriert sich die Gruppe auf die Informationsbeschaffung gegen Organisationen, die den strategischen Interessen Russlands entsprechen – insbesondere in NATO-Mitgliedstaaten und der Ukraine.

Zu den Zielen gehörten Organisationen aus der Verteidigungsindustrie, Behörden, dem Bildungswesen, dem Energiesektor, Strafverfolgungsbehörden, Medienunternehmen, Technologieunternehmen sowie Nichtregierungsorganisationen.