Gli zero-click russi che svuotano le webmail Zimbra senza un clic

Il 23 luglio 2026 NSA, FBI, CISA e dodici agenzie internazionali hanno pubblicato un advisory congiunto che conferma ciò che ricercatori privati monitoravano da mesi: un gruppo di spionaggio sostenuto dallo stato russo ha sfruttato la vulnerabilità zero-day CVE-2025-66376 in Zimbra Collaboration Suite per almeno cinque mesi, dal luglio 2025 al rilascio della patch nel novembre 2025. La tecnica non richiede clic su link né apertura di allegati. Bastava che il destinatario aprisse o anche solo visualizzasse in anteprima un'email malevola nella Classic UI di Zimbra perché il browser eseguisse codice JavaScript nel contesto della sessione autenticata.

La campagna, tracciata con nomi diversi da diversi vendor — LAUNDRY BEAR (AIVD olandese/MIVD), Void Blizzard (Microsoft), TA488 (Proofpoint), CL-STA-1114 (Unit 42 di Palo Alto Networks) — ha colpito governi NATO, settori della difesa, trasporti, finanza e installazioni nucleari statunitensi. Unit 42 ha identificato nove indirizzi IP e nove domini di comando e controllo con un ciclo di vita medio di 35,4 giorni. Proofpoint non rileva attività di TA488 specificamente dal febbraio 2026, ma Unit 42 segnala un targeting continuato di istanze non aggiornate.

Come il CSS diventa un'arma: la meccanica del tag-splitting

La vulnerabilità risiede nel modo in cui Zimbra Classic UI processa email HTML contenenti direttive CSS @import. Il sanitizer intermedio stripizza le direttive @import come misura di sicurezza, ma il parser ricombina frammenti di tag separati che, una uniti, ricostruiscono un elemento SVG con handler onload. L'esecuzione avviene nella sessione autenticata dell'utente, con pieno accesso ai token CSRF e alle API interne di Zimbra.

Il payload ricostruito — documentato come ZimReaper da The Hacker News e Ulej nell'advisory CISA AA26-204A — esegue una sequenza precisa: raccoglie il token CSRF, estrae password autofilled dal browser, invoca GetScratchCodesRequest per ottenere i codici di recupero 2FA, crea via CreateAppSpecificPasswordRequest una password applicativa denominata "ZimbraWeb", abilita zimbraPrefImapEnabled per l'accesso IMAP, e infine esfiltra un archivio TGZ contenente gli ultimi 90 giorni di email attraverso DNS e HTTPS verso infrastruttura del framework C2 Flowerbed. Il tutto senza che l'utente interagisca oltre alla visualizzazione del messaggio.

Proofpoint ha descritto il meccanismo con precisione: "The XSS exploit is embedded directly in the HTML body of the message and fires as soon as the victim opens or previews it in the vulnerable Zimbra webmail client. No further user interaction is required." Questa caratteristica annulla il paradigma difensivo costruito su decenni di security awareness: l'utente che non clicca, non scarica, non apre allegati è comunque compromesso.

Il problema delle app password: quando la patch non basta

La corretta applicazione delle versioni 10.0.18 o 10.1.13 — e successive — chiude la falla di injection ma lascia intatti i meccanismi di persistenza installati durante la compromissione. L'app password "ZimbraWeb" funziona come credenziale autonoma per i protocolli di accesso alle caselle, bypassando il flusso web con 2FA. Seqrite, citato da The Hacker News, ha evidenziato: "App-specific passwords survive password resets."

La furto dei codici scratch 2FA aggrava il quadro. Unit 42 ha notato che l'attaccante in possesso di tali codici può autenticarsi anche dopo il reset della password principale. L'advisory congiunto elenca esplicitamente "Two-factor authentication tokens" tra i dati esfiltrati. La combinazione di app password persistente e codici di recupero compromessi trasforma ogni account toccato in un sistema che rimane vulnerabile indipendentemente dalle misure reattive standard.

Attribuzione e infrastruttura: la convergenza dei nomi

La sovrapposizione infrastrutturale tra i diversi nomi di tracciamento è stata verificata confrontando le liste di indicatori di compromissione. The Hacker News ha analizzato entrambi i set di indicatori pubblicati da Unit 42 e Proofpoint: "compared the two indicator lists and found the same nine domains in both, which puts Unit 42's CL-STA-1114 and Proofpoint's TA488 on the same infrastructure." Questa convergenza consolida la visione di un'unica operazione sotto etichette analitiche diverse.

L'advisory congiunto del 23 luglio 2026 attribuisce formalmente l'attività allo stato russo e ne dettaglia la victimologia: governi NATO, enti di difesa, infrastrutture critiche, organizzazioni finanziarie e installazioni nucleari statunitensi. Beth Hopkins, COO del NCSC britannico, ha dichiarato: "This phishing campaign demonstrates how hostile actors will ruthlessly adapt techniques and exploit vulnerable technology in pursuit of their aims to steal sensitive information from Western organizations."

Rimane non confermata l'ipotesi di un uso sistematico di modelli linguistici di intelligenza artificiale nello sviluppo dell'exploit. Proofpoint ha giudicato "plausible" tale scenario ma ha precisato che non esistono evidenze tecniche a supporto. L'advisory CISA menziona che "AI played a role in development of simple codebase" senza dettagliare la natura di tale coinvolgimento.

Cosa fare adesso

Le organizzazioni che impiegano Zimbra Collaboration Suite con Classic UI devono agire su più fronti simultanei. La fonte primaria e gli advisory governativi indicano le seguenti priorità:

• Verificare la versione e applicare la patch: Zimbra ha rilasciato le versioni corrette il 6 novembre 2025; le build precedenti alla 10.0.18 e alla 10.1.13 rimangono vulnerabili. Secondo il record NVD per CVE-2025-66376, le versioni interessate sono ZCS 10.0 precedenti alla 10.0.18 e 10.1 precedenti alla 10.1.13.
• Trattare come compromessi gli account che hanno visualizzato email sospette: ogni account che ha aperto o visualizzato in anteprima messaggi nel periodo di attività della campagna deve essere considerato compromesso indipendentemente dall'assenza di azioni utente apparenti.
• Revocare app password non autorizzate e rigenerare credenziali 2FA: cercare specificamente password applicative denominate "ZimbraWeb" o simili, rimuoverle, e rigenerare i codici scratch 2FA poiché quelli precedenti sono stati oggetto di esfiltrazione.
• Terminare sessioni attive e resettare password principali: la revoca delle sessioni esistente e il cambio password sono necessari ma non sufficienti senza l'eliminazione simultanea delle app password create durante la compromissione.

"Unlike traditional phishing campaigns that persuade a user into taking an action, such as clicking a link or opening a file, LAUNDRY BEAR's latest campaign leverages a view-based exploit that only requires a user to view a malicious email within a vulnerable version of the webmail service."

Perché cambia tutto: la fine del "non cliccare" come strategia

La campagna ZimReaper segna un punto di svolta nella relazione tra architetture di posta elettronica e modelli di minaccia. Quando la sola visualizzazione di un messaggio trasforma il browser dell'utente in un agente di compromissione passiva, il perimetro difensivo si sposta irrevocabilmente dal comportamento umano all'ingegneria del software. Il security awareness training conserva valore ma non può più fungere da linea di difesa primaria contro questo genere di attacchi.

La persistenza ottenuta attraverso app password e codici 2FA rubati introduce una dimensione che i team di risposta agli incidenti devono integrare nei playbook: la compromissione non è un evento puntuale ma uno stato che persiste attraverso meccanismi legittimi del servizio. La distinzione tra account normale e account compromesso diventa operativa solo attraverso il controllo esplicito di artefatti come le password applicative, non attraverso il solo patching.

Restano zone di incertezza. Il numero esatto di organizzazioni compromesse non è stato reso pubblico da Unit 42 né da altre fonti primarie. L'identità degli operatori individuali rimane sconosciuta: il caso giudiziario di Denis Obrezko, menzionato da TechTimes, non è corroborato dalle altre fonti nel set. Non è documentato se le credenziali esfiltrate siano state effettivamente riutilizzate o conservate come riserva operativa. Infine, il dossier non specifica se versioni successive alla 10.1.13 — come la 10.1.20 del luglio 2026 — abbiano raggiunto tutte le organizzazioni target.

FAQ

Perché il CVSS mostra punteggi discordanti?

MITRE assegna a CVE-2025-66376 un CVSS 7.2 con vettore UI:N (nessuna interazione utente), mentre il record NVD riporta 6.1 con UI:R (richiede interazione). Unit 42 classifica l'exploit come zero-click. La discrepanza riflette diverse interpretazioni del requisito di "interazione" nel contesto della sola visualizzazione di un'email.

L'exploit funziona anche nella modern UI di Zimbra?

Il dossier identifica esplicitamente la Classic UI come superficie vulnerabile. Non emergono evidenze che estendano la stessa meccanica di tag-splitting alla modern UI.

Perché l'advisory congiunto è del luglio 2026 se la patch è del novembre 2025?

L'advisory del 23 luglio 2026 formalizza l'attribuzione statale e coordina la divulgazione pubblica tra quindici agenzie internazionali. La patch era già disponibile ma la campagna era stata analizzata solo in ambito privato; la pubblicazione governativa integra ricerca vendor con intelligence classificata.

Fonti

• https://thehackernews.com/2026/07/russian-espionage-group-exploited.html
• https://unit42.paloaltonetworks.com/russian-webmail-espionage/
• https://www.darkreading.com/cyberattacks-data-breaches/russian-hackers-zimbra-zero-day-us-ukraine-targets
• https://www.infosecurity-magazine.com/news/russian-hackers-zero-click/
• https://hackread.com/russian-hackers-zimbra-0-day-steal-emails-link-clicks/
• https://gbhackers.com/russian-laundry-bear-hackers-exploit-zimbra/
• https://www.techtimes.com/articles/321406/20260723/zero-click-zimbra-flaw-fuels-active-russian-espionage-against-nato-agencies.htm
• https://nvd.nist.gov/vuln/detail/CVE-2025-66376
• https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-204a
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-66376
• https://thehackernews.com/2026/03/cisa-warns-of-zimbra-sharepoint-flaw.html

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti