Il 23 luglio 2026 le agenzie di intelligence di quindici nazioni hanno reso pubblico ciò che alcune vittime ancora ignorano: una vulnerabilità zero-day in Zimbra Collaboration Suite ha permesso a un gruppo di spionaggio russo di raccogliere email, codici 2FA e password persistenti per oltre cinque mesi, dal luglio al novembre 2025. La correzione del software, distribuita il 6 novembre 2025, non elimina automaticamente l'accesso ottenuto. Le organizzazioni che hanno aggiornato senza verificare la presenza di password applicative compromesse conservano ancora un ingresso per l'attaccante.
- Il gruppo LAUNDRY BEAR — tracciato anche come Void Blizzard, CL-STA-1114 e TA488 — ha sfruttato la vulnerabilità CVE-2025-66376 senza richiedere alcun clic da parte della vittima: la sola anteprima dell'email attiva il payload.
- I target includono governi NATO, settore della difesa, trasporti, finanza e istituzioni ucraine; il movente è esclusivamente di spionaggio statale, senza estorsioni finanziarie rilevate.
- Il payload ruba novanta giorni di cronologia email, codici scratch di autenticazione a due fattori e crea una password applicativa denominata "ZimbraWeb" che persiste anche dopo il reset della password principale.
- Le infrastrutture di comando e controllo "Flowerbed" — nove indirizzi IP e nove domini con una vita media di circa 35,4 giorni — utilizzano container Docker e certificati Let's Encrypt per l'esfiltrazione via DNS e HTTPS.
Come funziona l'exploit zero-click nel Classic UI
Il meccanismo sfrutta una stored XSS nella classica interfaccia web di Zimbra. Il messaggio maligno contene un payload JavaScript frammentato all'interno di direttive CSS @import fittizie e commenti HTML. Il sanitizer di Zimbra elimina le sequenze @import, ma i caratteri rimanenti vengono riassemblati dal browser in codice eseguibile. Il payload eredita il contesto della sessione autenticata e invoca le API SOAP di Zimbra per estrarre dati e stabilire persistenza.
Secondo l'analisi di Palo Alto Networks Unit 42, il gruppo ha distribuito email di phishing "zero-click" che iniettano automaticamente il payload JavaScript senza interazione del destinatario. Proofpoint, riportata da HackRead, conferma che "l'exploit XSS è incorporato direttamente nel corpo HTML del messaggio e si attiva non appena la vittima lo apre o lo visualizza in anteprima nel client webmail Zimbra vulnerabile. Non è richiesta alcuna ulteriore interazione dell'utente".
Il dato tecnico è coerente tra fonti indipendenti. CISA, NSA, FBI e le agenzie alleate definiscono la campagna "view-based": a differenza del phishing tradizionale, non è necessario che l'utente clicchi un link o apra un allegato. La sola visualizzazione nella versione vulnerabile del servizio webmail basta.
"Unlike traditional phishing campaigns that persuade a user into taking an action, such as clicking a link or opening a file, LAUNDRY BEAR's latest campaign leverages a view-based exploit that only requires a user to view a malicious email within a vulnerable version of the webmail service"
— NSA/CISA/FBI, advisory congiunto AA26-204A
Il furto che sopravvive: 2FA, app password e persistenza
Una volta eseguito, il payload — denominato ZimReaper nelle prime fasi e Ulej nelle varianti successive — operava in modo sistematico. Le fonti convergenti documentano l'estrazione degli ultimi novanta giorni di comunicazioni email, della Global Address List, delle password salvate nel browser e dei codici scratch per l'autenticazione a due fattori. Contestualmente, il payload generava una password applicativa con etichetta "ZimbraWeb" tramite la richiesta API CreateAppSpecificPasswordRequest.
Quest'ultimo elemento è quello che trasforma una vulnerabilità patchabile in un problema di risposta agli incidenti. Secondo ricercatori di Seqrite citati da The Hacker News, "le password specifiche per l'applicazione sopravvivono ai reset delle password". L'aggiornamento a ZCS 10.0.18 o 10.1.13, rilasciato il 6 novembre 2025, corregge la falla ma non invalida automaticamente le credenziali applicative già create. Un'organizzazione che ha aggiornato tempestivamente senza audit delle password applicative mantiene potenzialmente attivo l'accesso dell'attaccante.
L'inserimento di CVE-2025-66376 nel catalogo KEV di CISA il 18 marzo 2026 impone alle agenzie federali statunitensi e ai contraenti di infrastrutture critiche, in base al Binding Operational Directive 22-01, un'azione vincolante con scadenza fissata al 1 aprile 2026.
Attribuzione, nomi e incertezze
L'attribuzione al governo russo è condivisa da quindici nazioni con "alta confidenza", secondo il testo dell'advisory congiunto. Il gruppo è noto con nomenclature multiple: LAUNDRY BEAR per AIVD e MIVD (i servizi di intelligence olandesi), Void Blizzard per Microsoft, CL-STA-1114 per Unit 42 di Palo Alto Networks, TA488 per Proofpoint. Il dossier non stabilisce se l'exploit sia stato sviluppato internamente al gruppo o ricevuto dai servizi di intelligence russi.
Il movente è descritto nel testo dell'advisory con chiarezza: "La natura occulta e persistente di questa attività, unita all'assenza di qualsiasi estorsione finanziaria nota, indica quasi certamente il coinvolgimento di questo gruppo in attività di spionaggio con il sostegno del governo russo". L'obiettivo dichiarato delle operazioni è la raccolta di intelligence sui governi NATO, la base industriale della difesa, il sostegno militare all'Ucraina e obiettivi in Africa e nei paesi CSI.
Sul fronte operativo attuale permangono incertezze documentate. Proofpoint non ha rilevato attività TA488 dal febbraio 2026. Unit 42 segnala invece lo sfruttamento continuativo di istanze non aggiornate da parte di attori non specificati, senza confermare che si tratti dello stesso gruppo. Il dossier non chiarisce se le credenziali rubate in questa campagna siano state riutilizzate in intrusioni successive oltre l'accesso alle email.
Discrepanze tecniche: il CVSS e il bit dell'interazione
Un elemento di disaccordo documentato merita attenzione. Il National Vulnerability Database assegna a CVE-2025-66376 un punteggio CVSS 6.1 con il bit UI:R (User Interaction Required), indicando che l'utente deve compiere un'azione. Il record MITRE su cve.org assegna invece CVSS 7.2 con bit UI:N (No User Interaction), coerente con la caratterizzazione zero-click delle fonti tecniche e dell'advisory governativo. Gli analisti di Unit 42 e Proofpoint mantengono la definizione zero-click indipendentemente dalla discrepanza nel vettore NVD.
Cosa fare adesso
- Verificare la presenza di password applicative anomale denominate "ZimbraWeb" o simili nell'ambiente Zimbra; rimuoverle e invalidare tutte le sessioni attive, non limitarsi al reset della password principale.
- Controllare l'abilitazione IMAP non autorizzata per account che normalmente non la utilizzano, dato che il payload Ulej ha documentatamente forzato l'attivazione del protocollo per l'accesso persistente.
- Auditare le sessioni e i log API SOAP relativi alle richieste CreateAppSpecificPasswordRequest nel periodo luglio 2025 - febbraio 2026, intervallo di attività confermato.
- Aggiornare alle versioni corrette — 10.0.18 o 10.1.13 — solo se non già fatto, con consapevolezza che la patch protegge da nuovi accessi ma non rimuove quelli stabiliti.
Perché la risposta non può fermarsi alla patch
Questo caso esemplifica una categoria di minaccia che rende obsoleto il criterio "patch e dimentica". Quando un exploit webmail agisce al momento della visualizzazione e genera credenziali persistenti indipendenti dalla password principale, la superficie di risposta si sposta dall'infrastruttura all'identità. Le organizzazioni devono assumere che l'aggiornamento sia necessario ma non sufficiente: la ricostruzione della postura di sicurezza richiede la mappatura di artefatti generati durante la compromissione, non solo la chiusura della falla originaria.
La campagna di LAUNDRY BEAR dimostra inoltre che l'obiettivo degli attori di spionaggio avanzato non è più necessariamente la persistenza a lungo termine sulla stessa infrastruttura, ma la raccolta efficiente di credenziali e dati tramite infrastrutture effimere. I server Flowerbed, con una vita media di poco più di un mese, sono progettati per scomparire prima che l'analisi forense li raggiunga. Contro questo modello, la velocità di risposta conta più della perfezione della difesa preventiva.
Fonti
- https://thehackernews.com/2026/07/russian-espionage-group-exploited.html
- https://cyberscoop.com/russian-laundry-bear-zimbra-exploit/
- https://www.helpnetsecurity.com/2026/07/24/laundry-bear-zimbra-vulnerability-cve-2025-66376/
- https://unit42.paloaltonetworks.com/russian-webmail-espionage/
- https://www.darkreading.com/cyberattacks-data-breaches/russian-hackers-zimbra-zero-day-us-ukraine-targets
- https://gbhackers.com/russian-laundry-bear-hackers-exploit-zimbra/
- https://hackread.com/russian-hackers-zimbra-0-day-steal-emails-link-clicks/
- https://www.techtimes.com/articles/321406/20260723/zero-click-zimbra-flaw-fuels-active-russian-espionage-against-nato-agencies.htm
- https://nvd.nist.gov/vuln/detail/CVE-2025-66376
- https://www.cve.org/CVERecord?id=CVE-2025-66376
- https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-204a
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-66376
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.