A CISA está alertando que o grupo de hackers patrocinado pelo Estado russo Laundry Bear, também conhecido como Void Blizzard, está mirando organizações que usam servidores de e-mail Zimbra Collaboration ao combinar ataques de phishing com a exploração de uma vulnerabilidade do Zimbra que já recebeu patch.
Segundo a CISA, o Laundry Bear já atacou e comprometeu usuários de organizações ligadas à Base Industrial de Defesa, governos federal e locais, educação, energia, aplicação da lei, mídia, organizações não governamentais e tecnologia.
Os atacantes exploram a falha
CVE-2025-66376
do Zimbra, uma vulnerabilidade de cross-site scripting, ou XSS, que afeta a interface Classic UI do Zimbra Collaboration Suite.
A falha permite que JavaScript embutido em e-mails HTML especialmente preparados seja executado automaticamente quando a vítima abre a mensagem, o que viabiliza o roubo de dados da conta sem que o usuário precise clicar em um link ou acessar um site de phishing.
De acordo com a CISA, o Laundry Bear explorou a falha como zero-day antes de o Zimbra lançar o patch em novembro de 2025 e continua mirando organizações que operam servidores sem atualização.
A vulnerabilidade depois passou a ser classificada pela CISA como ativamente explorada em ataques.
A agência afirma que o exploit do Laundry Bear é usado para coletar e enviar automaticamente os e-mails dos últimos 90 dias da vítima, além do endereço de e-mail, senha, Global Address List, ou GAL, e tokens de autenticação de dois fatores, 2FA.
Os atacantes também criam e enviam de volta um novo código de acesso de aplicação do Zimbra, usado por clientes de e-mail legados, como IMAP ou ActiveSync, que não suportam fluxos de autenticação TOTP.
Com esse código, os atacantes conseguem manter acesso à conta de e-mail enquanto contornam o MFA.
Segundo a CISA, o malware exfiltra as informações roubadas por DNS e HTTPS para um servidor controlado pelo grupo e que executa a estrutura de coleta “Flowerbed”.
Dados menores são codificados e transmitidos em consultas DNS do tipo A, enquanto payloads maiores, incluindo dados da caixa de entrada, são enviados por HTTPS em arquivos compactados para servidores controlados pelos atacantes.
Além de explorar a falha do Zimbra, o Laundry Bear também usa kits de phishing adversary-in-the-middle, ou AiTM, projetados para imitar portais legítimos de login do Zimbra, roubando credenciais e cookies de sessão e permitindo que os atacantes acessem as contas de e-mail das vítimas.
A CISA divulgou indicadores de comprometimento, os IOCs, que mostram que a campanha usou sites que imitam a infraestrutura do Zimbra, com nomes de domínio como “mailnalysis.com”, “emailanalytics.com.ua”, “zimbrastat.com”, “zimbra-metadata.com”, “istc-cloud.com” e “zmailanalytics.com”.
O alerta recomenda que organizações que usam Zimbra atualizem para a versão mais recente do software e instalem todas as atualizações de segurança disponíveis, revisem os indicadores de comprometimento publicados, investiguem os sistemas em busca de conexões com os domínios e endereços IP identificados, monitorem atividades suspeitas de autenticação, revoguem quaisquer códigos de acesso de aplicação não autorizados, especialmente os com “ZimbraWeb”, e verifiquem contas em busca de acesso não autorizado à caixa de entrada.
A CISA também recomenda implementar MFA resistente a phishing sempre que possível.
O grupo de hackers Laundry Bear foi atribuído pela primeira vez a ataques de ciberespionagem em maio de 2025 por agências de inteligência holandesas.
As agências da Holanda atribuíram publicamente o grupo a um comprometimento, em 2024, da Polícia Nacional Holandesa, que expôs informações pessoais de policiais e levou à identificação de um grupo russo de espionagem até então desconhecido.
A Microsoft acompanha o mesmo grupo pelo nome Void Blizzard.
Desde pelo menos 2024, o grupo vem concentrando esforços na coleta de inteligência contra organizações alinhadas aos interesses estratégicos da Rússia, com foco principal em países membros da OTAN e na Ucrânia.
A Microsoft também documentou compromissos bem-sucedidos de organizações que apoiam a Ucrânia, incluindo entidades dos setores de defesa, transporte e aviação.
No início deste ano, relatou-se uma campanha separada do Laundry Bear que mirava os militares da Ucrânia com e-mails de phishing temáticos de caridade para entregar malware disfarçado de pedidos de doação.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...