A CISA, a NSA, o FBI e agências de inteligência de 15 países publicaram em 23 de julho de 2026 o advisory conjunto AA26-204A, alertando para uma campanha de espionagem do grupo russo LAUNDRY BEAR contra instalações do Zimbra Collaboration Suite. A campanha está ativa desde pelo menos julho de 2025 e usa um exploit que dispensa qualquer interação do usuário.

O ataque explora a vulnerabilidade CVE-2025-66376, uma falha de cross-site scripting armazenado na interface Classic UI do Zimbra. Basta que a vítima visualize ou pré-visualize a mensagem — sem clicar em link ou abrir anexo. A falha no cliente clássico do Zimbra noticiada antes neste portal é um problema distinto: esta compromete o sanitizador HTML que processa e-mails antes da renderização.

Como a exploração zero-clique acontece

O vetor de ataque aproveita uma falha no sanitizador HTML do lado do cliente do Zimbra. O atacante envia um e-mail cujo corpo HTML contém um elemento SVG invisível com um payload JavaScript codificado em Base64 e cifrado com XOR, embutido no atributo onload. Quando a mensagem é aberta ou pré-visualizada na interface web clássica, o navegador reconstrói o código malicioso — fragmentado com diretivas CSS @import falsas e comentários HTML para escapar do filtro — e o executa automaticamente.

Pesquisadores da Proofpoint, que rastreiam o grupo como TA488, descreveram o método como exploit de meio-clique: basta a mensagem renderizar para o exploit disparar, sem nenhuma interação adicional do destinatário. A exploração não exige que o atacante conheça a vítima; a LAUNDRY BEAR varre a internet em busca de servidores ZCS expostos e usa bases de dados de scan comercialmente disponíveis para identificar alvos. Treinamento de conscientização não oferece proteção, pois o ataque não depende de julgamento humano — a superfície comprometida é o processamento automático de dados pelo software.

Ferramenta Ulej e exfiltração de dados

Após a execução bem-sucedida do exploit, o código malicioso ativa uma ferramenta de exfiltração e agregação denominada Ulej — palavra russa para colmeia (Улей). Desenvolvida pela própria LAUNDRY BEAR, a ferramenta opera em doze estágios assíncronos e coleta os últimos 90 dias de e-mails da vítima, a Lista de Endereços Global da organização, senhas, tokens de autenticação de dois fatores e senhas de aplicação recém-criadas.

O payload também ativa o protocolo IMAP e gera Application Passcodes — códigos de acesso persistentes nomeados ZimbraWeb — para manter acesso à caixa postal após a sessão inicial expirar. Os dados roubados são comprimidos com GZIP e enviados a um servidor virtual privado controlado pelos atacantes, que executa o framework de coleta Flowerbed. A exfiltração ocorre por dois canais paralelos: HTTPS para volumes maiores, como o conteúdo completo de e-mails, e consultas DNS codificadas em Base32 para payloads menores. Desde novembro de 2025, os atacantes passaram a enviar mensagens a partir de contas previamente comprometidas com relacionamento estabelecido com o alvo, burlando controles antiphishing baseados em reputação do remetente.

Versões afetadas e correção disponível

A CVE-2025-66376 afeta o Zimbra Collaboration Suite na linha 10 antes das versões 10.0.18 e 10.1.13. O MITRE atribuiu pontuação CVSS 7,2 (alto), enquanto o NVD calculou 6,1 (médio). A Zimbra corrigiu a falha no release 10.1.13, publicado em 6 de novembro de 2025, mas as notas iniciais descreveram o problema de forma genérica, sem identificador CVE. O NIST e o MITRE só publicaram a entrada formal em janeiro de 2026.

A CISA adicionou a vulnerabilidade ao catálogo de vulnerabilidades conhecidas e exploradas em 18 de março de 2026, com prazo de remediação em 1 de abril. Esse intervalo de quase três meses entre a correção técnica e a divulgação do CVE significa que quem aplicou o patch de novembro ficou protegido, mas quem prioriza correções pelo número CVE permaneceu exposto. A LAUNDRY BEAR foi descrita pela primeira vez em maio de 2025, quando os serviços de inteligência dos Países Baixos (AIVD e MIVD) e a Microsoft a classificaram como novo grupo russo de espionagem de e-mails. A disciplina de atualização priorizada por risco separa quem resistiu de quem foi comprometido.

Checklist de resposta para administradores

A LAUNDRY BEAR tem como alvo principal organizações governamentais, contratantes de defesa, agências de aplicação da lei, instituições de ensino, energia, mídia, ONGs e tecnologia em países ocidentais e da OTAN. O advisory observa que o grupo direcionou ataques à Ucrânia antes de expandir para os Estados Unidos e demais aliados.

A primeira prioridade de resposta é atualizar todos os servidores Zimbra para a versão corrigida. Administradores devem seguir este procedimento:

  1. Atualizar para Zimbra 10.1.13 ou superior (linhas 10.0.18+ e 10.1.13+)
  2. Buscar indicadores no mailbox.log: comandos SOAP anômalos e Application Passcodes nomeadas ZimbraWeb
  3. Inspecionar o localStorage do navegador por entradas no formato zd_comp seguidas de data
  4. Revogar credenciais, remover Application Passcodes e desativar IMAP desnecessário
  5. Monitorar tráfego de saída para VPS desconhecidos e picos de consultas DNS para subdomínios aleatórios
  6. Adotar autenticação com passkeys via serviço de terceiros para reduzir o impacto do roubo de sessão

O advisory recomenda ainda que organizações monitorem conexões a serviços internos, como webmail, originadas de provedores de VPN, e investiguem picos de tráfego para servidores associados a domínios recém-criados.

Fontes