Um grupo russo de ciberespionagem apoiado pelo Estado, rastreado pela comunidade de segurança como LAUNDRY BEAR, explora a vulnerabilidade CVE-2025-66376 no Zimbra Collaboration Suite para roubar até 90 dias de e-mails de governos e empresas ocidentais sem que a vítima precise clicar em nada. O alerta foi emitido em 23 de julho de 2026 pela CISA, pela NSA, pelo FBI e por mais de 20 agências de inteligência internacionais no advisory conjunto AA26-204A, que detalha uma campanha ativa desde pelo menos julho de 2025 contra organizações que executam versões não corrigidas do webmail corporativo.
A falha zero-click do Zimbra
A vulnerabilidade central é a CVE-2025-66376, uma falha de cross-site scripting (XSS) que permite a execução automática de JavaScript malicioso embutido em um e-mail HTML assim que a mensagem é visualizada na interface web do ZCS. Diferente do phishing tradicional, que depende de o usuário clicar em um link ou baixar um arquivo, este exploit exige apenas que a vítima abra a mensagem no webmail vulnerável. A falha foi corrigida pelo fabricante em novembro de 2025, depois de já ter sido explorada como zero-day, mas continua sob exploração ativa contra instalações que ainda não aplicaram o patch.
O payload malicioso fica oculto em um elemento SVG, codificado em Base64 dentro do campo “onload”, e é acionado por diretivas CSS @import que aproveitam a CVE-2025-66376. Após a execução, o script recorre a ofuscação e criptografia XOR para contornar controles básicos de segurança e dispara um processo em múltiplas etapas voltado a reconhecimento interno, roubo de credenciais e coleta de dados. Os e-mails maliciosos são disparados a partir de contas previamente comprometidas para evadir detecção e elevar a credibilidade da isca.
O que a APT russa exfiltra
O objetivo declarado da campanha é a aquisição dissimulada de dados de e-mail em benefício da Federação Russa. A ferramenta de exfiltração desenvolvida sob medida, chamada Ulej, tenta copiar os últimos 90 dias de comunicações por e-mail da vítima, a lista de endereços global da organização e outras informações sensíveis, enviando tudo a servidores controlados pelo grupo. O exploit também tenta estabelecer acesso persistente às contas comprometidas por diversos meios, prolongando o período de espionagem mesmo depois da mensagem inicial ser removida.
Vítimas e alcance da campanha
LAUNDRY BEAR, também conhecido como Void Blizzard, concentra o foco em agências governamentais ocidentais, contratantes de defesa, organismos de aplicação da lei e organizações comerciais. Antes deste ataque, o grupo dependia de técnicas menos sofisticadas de acesso inicial, incluindo password spraying, phishing convencional e pass-the-cookie, operações de alto volume que ainda assim logravam sucesso. A adoção de um exploit zero-click marca uma escalada de sofisticação técnica e amplia o leque de alvos viáveis, pois elimina a necessidade de engenharia social eficaz em cada vítima.
A persistência de instalações não corrigidas é o combustível da campanha: como a falha já tem patch há meses, toda organização que ainda roda versão vulnerável permanece exposta a exfiltração silenciosa de e-mails. Para equipes de segurança, isso reforça que o tempo médio de correção de vulnerabilidades em ativos externos permanece a métrica mais decisiva do risco real.
Como mitigar o risco agora
As agências autoras recomendam que toda organização que utiliza o Zimbra Collaboration Suite aplique imediatamente as atualizações que corrigem a CVE-2025-66376 e investigue a presença dos indicadores de comprometimento listados no advisory. A higiene de patches continua sendo o controle mais eficaz contra falhas de dia zero que atingem serviços de webmail — uma lição recorrente também na recente onda de exploração do SharePoint e na exploração ativa da CVE-2026-46817 no Oracle E-Business Suite.
Lista de verificação para defensores:
- Atualize todas as instâncias do Zimbra Collaboration Suite para versões que incluam o patch de novembro de 2025.
- Pesquise logs por tráfego de saída anômalo direcionado a IPs de provedores VPS não utilizados pela organização.
- Monitore consultas DNS frequentes a domínios suspeitos com subdomínios aparentemente aleatórios.
- Busque nos repositórios de mensagens por e-mails com payload malicioso — SVG com Base64 no campo “onload” e diretivas @import.
- Revise sessões e acessos de contas de e-mail sensíveis em busca de persistência não autorizada.
- Implemente autenticação multifator resistente a phishing nas contas administrativas do webmail.