Zero-Day-Schwachstelle in Zimbra Russische Hacker stehlen E-Mails ohne Social Engineering

Anbieter zum Thema

FTAPI Software GmbH

Die russische Gruppe „Laundry Bear“ hat über eine Zimbra-Schwachstelle E-Mails gestohlen, ohne dass Opfer Links anklicken oder Anhänge öffnen mussten. Ein gemeinsames Advisory mehrerer Behörden liefert IoCs und Schutzmaßnahmen, die dringend umgesetzt werden sollten.

Am vergangenen Donnerstag teilten die USA sowie mehr als ein Dutzend weiter Staaten Reuters mit, dass russische Hacker E-Mails von Nutzern des E-Mail-Programms Zimbra gestohlen haben. Das Besondere dabei ist, dass die Nutzer von den Angreifern nicht verleitet geworden seien, einen Anhang zu öffnen oder auf einen Link zu klicken. Das Sicherheitsunternehmen Proofpoint hat die Angriffskampagne aufgedeckt und als einen „Half-Click Exploit“ beschrieben: Das Öffnen der E-Mail genüge, um den Exploit auszulösen, ohne dass weitere Social-Engineering-Maßnahmen erforderlich seien.

UNC5792 und UNC4221

Russische Geheimdienste zielen auf Signal Backup Keys

Sensible Daten weg – mit nur einem halben Klick

Der CISA zufolge nimmt eine Gruppe staatlich unterstützter russischer Cyberakteure seit mindestens Juli 2025 verschiedene westliche Regierungs- und Wirtschaftsorganisationen ins Visier und kompromittiert deren Systeme unter Ausnutzung der ZCS. Vorwiegend seien die Akteure der APT-Gruppe unter dem Namen „Laundry Bear“ bekannt. Proofpoint verfolgt die Gruppe unter dem Namen „TA488“.

Das Ziel der Gruppe ist es demnach, sensible Informationen für die Russische Föderation zu stehlen, wobei der Schwerpunkt der Akteure auf der verdeckten Erlangung von E-Mail-Daten liegt. Frühere Kampagnen hätten bereits gezeigt, dass Laundry Bear auf wenig komplexe Methoden für den Erstzugriff setze, darunter „Password Spraying“, Phishing und „Pass-the-Cookie“, was der Gruppe schon früher die Durchführung umfangreicher Operationen ermöglicht habe.

Für den Einstieg sei die Schwachstelle EUVD-2026-0850 / CVE-2025-66376 (CVSS-Score 7.2, EPSS-Score 12.01) genutzt worden, die zwar bereits im November 2025 geschlossen wurde, jedoch im März 2026 von der CISA als aktiv ausgenutzt gemeldet wurde. Die Sicherheitslücke betrifft die Zimbra Collaboration Suite (ZCS) vor Version 10.0.18 und vor Version 10.1.13 und ermöglicht persistentes Cross-Site Scripting. Die CISA beschreibt den in der jüngsten, gegen ZCS gerichteten Kampagne genutzten Exploit als neuartig. Zum Zeitpunkt seiner Ausnutzung habe es sich um eine Zero-Day-Schwachstelle gehandelt, was die Fähigkeit von Laundry Bear unterstreiche, zunehmend ausgefeilte technische Methoden einzusetzen. Die Angriffskomponente, die die Daten exfiltriert, habe die Gruppe „Ulej“ genannt.

Umgehung von Sicherheitsfunktionen

Erste Zero-Click-Schwachstelle in Copilot entdeckt

Während Proofpoint den Angriff als „Half-Click Exploit“ bezeichnet, schreibt die US-amerikanische Sicherheitsbehördevon einem „View-based Exploit“. Beide meinen jedoch dieselbe Vorgehensweise. Im Gegensatz zu herkömmlichen Phishing-Kampagnen, die den Nutzer zu einer Handlung bewegen sollen, etwa dem Anklicken eines Links oder dem Öffnen einer Datei, reicht es bei dieser jüngsten Kampagne von Laundry Bear aus, wenn ein Nutzer lediglich eine manipulierte E-Mail innerhalb einer anfälligen Version des Webmail-Dienstes betrachtet. Sobald die E-Mail angesehen wird, überträgt Ulej, die E-Mail-Kommunikation der letzten 90 Tage, das E-Mail-Verzeichnis der Organisation sowie weitere sensible Informationen auf von den Angreifern kontrollierte Server. Zudem versucht Ulej, auf verschiedene Weise einen dauerhaften Zugriff auf die Konten der Opfer zu etablieren.

Für die Verarbeitung und Zwischenspeicherung der über den Zimbra-Exploit gestohlenen Daten, habe die Gruppe ein eigees Collection Framework entwickelt. Es heiße „Flowerbed“, technsich handle es sich um ein Python-Projekt mit Docker-Containerisierung.

High-Risk-Vulnerabilities betreffen die gesamte IT-Landschaft

Zehn Schwachstellen, die Unternehmen 2026 im Blick haben sollten

Vorgehen in der Ukraine getestet

Die CISA warnt vor den anhaltenden Aktivitäten und fordert Organisationen dazu auf, ihre anfällige Software zu aktualisieren und zusätzliche Schutzmaßnahmen zu ergreifen. Das entsprechende Security Advisory wurde von 26 weiteren Behörden herausgegeben und unterstützt, darunter das US Federal Bureau of Investigation, dem UK National Cyber Security Centre sowie den italienischen, finnischen, dänischen, spanischen, polnischen, französischen, schwedischen, tschechischen, moldauischen und estländisch Sicherheits- und Nachrichtendiensten. Das deutsche Bundesamt für Sicherheit in der Informationstechnik gehört nicht zu den herausgebenden Behörden, eine aktuelle, öffentliche Warnung des Amtes liegt zum Zeitpunkt der Veröffentlichung dieses Artikels nicht vor.

Die gemeinsam veröffentlichte Analyse enthält nicht nur Schutzmaßnahmen sowie Indicators of Compromise, sondern erklärt auch, dass die Angriffe sich zuerst gegen die Ukraine richteten, bevor der Exploit gegen die USA und weitere NATO-Verbündete eingesetzt wurde. Dies sei ein zunehmender Trend russischer Cyberbedrohungsgruppen. Ukrainische Nutzer werden als erste ins Visier genommen, sowohl als vorrangiges Ziel wie auch als Testumgebung für schädliche Cybertechniken, bevor diese weltweit breiter eingesetzt werden.

„Die heutigen Maßnahmen zeigen, dass wir Hand in Hand mit unseren Verbündeten daran arbeiten, staatlich unterstützte russische Hacker zu entlarven, die westliche Organisationen ins Visier nehmen“, kommentiert Security Minister des UK NCSC, Dan Jarvis in einer Meldung der britischen Sicherheitsbehörde am 23. Juli 2026. „Besonders besorgniserregend ist, dass diese Kriminellen ihre Methoden zunächst an Opfern in der Ukraine erprobten, bevor sie NATO-Mitglieder angriffen.“

Botschafter einbestellt, neue Sanktionen angekündigt

Russischer Geheimdienst greift europäische Regierungsnetze an

Laundry Bear hat Nutzer in verschiedenen Organisationen ins Visier genommen und kompromittiert, darunter aus den folgenden Bereichen:

• Verteidigungsindustrie

• Bundes- und Kommunalverwaltung

• Bildungswesen

• Energiesektor

• Strafverfolgung

• Medien

• Nichtregierungsorganisationen

• Technologiebranche

Hybride Kriegsführung

Russische Cyberangriffe weiten sich auf NATO-Infrastruktur aus

Schutz vor der Laundry-Bear-Kamapgne & IoCs

Das Security Advisory sowie auch die Warnung der CISA enthalten Schutzmaßnahmen, die Organisationen, die Zimbra nutzen, umsetzen sollen:

• Ein Update auf die neueste Softwareversion durchführen, um alle verfügbaren Sicherheitsupdates installieren

• Die veröffentlichten Indikatoren für eine Kompromittierung prüfen

• Systeme auf Verbindungen zu den identifizierten Domains und IP-Adressen untersuchen

• Auf verdächtige Authentifizierungsaktivitäten achten

• Unbefugte Anwendungspasswörter widerrufen, insbesondere solche für „ZimbraWeb“

• Benutzerkonten auf unbefugte Zugriffe auf Postfächer überprüfen

• Wo immer möglich, eine phishing-resistente Multi-Faktor-Authentifizierung einführen

Laundry Bear hat die folgenden E-Mail-Adressen verwendet, um Ressourcen für ihre Kampagne zu beschaffen:

• ivanka.zurabishvili@proton[.]me,

• zmul1@buildandconsulting[.]com,

• garrysmithme@pinmx[.]net und

• hostingclient@pinmx[.]net.

Einzelheiten zur Server-Infrastruktur, die für das Hosting von Flowerbed verwendet wird, sind:

Die SHA-1-Hashwerte für die von dieser Infrastruktur verwendeten Let’s-Encrypt-Zertifikate sind:

Cyberspionage über E-Mail- und Messenger-Dienste

Laundry Bear ist eine von mehreren Hackergruppen, die nach Angaben der USA im Auftrag russischer Sicherheitsdienste agieren. Wie Reuters berichtet, habe eine im Juli eingereichte US-Anklageschrift die Gruppe mit dem russischen Cybersicherheitsunternehmen Yutek-NN in Verbindung gebracht. Dessen stellvertretender Direktor, Denis Obrezko, müsse sich nach seiner Festnahme in Thailand im vergangenen Jahr in Boston wegen Hackerangriffen verantworten. Er habe auf „nicht schuldig“ plädiert. Weder von der russischen Botschaft in Washington, noch von Yutek-NN oder Zimbra liegen derzeit Stellungnahmen vor. Die Behörden, die die Sicherheitswarnung herausgegeben haben, rufen Unternehmen und Organisationen zur Vorsicht auf und Vorfälle zu melden.

Dass Cyberkriminelle E-Mail-Dienste ins Visier nehmen, um sensible Daten auszuspionieren, ist keine Seltenheit. Besonders russische, chinesische und nordkoreanische Akteure führen, meist staatlich geförderte, Spionagaktivitäten durch und nehmen dafür regelmäßig E-Mail- und Nachrichtendienste ins Visier. Im April berichtete Reuters, dass russische Hacker in zahlreiche E-Mail-Konten von Staatsanwälten und Ermittlern in der gesamten Ukraine eingedrungen waren. In Deutschland waren jüngst Regierungsmitglieder von Spionage über Signal betroffen.

Update: Offizielles Statement von Signal

Regierungsmitglieder von Ausspähung über Signal betroffen

(ID:50908392)