ФБР и партнёры предупредили о российской кибершпионской кампании против пользователей Zimbra
ФБР совместно с Агентством национальной безопасности США, разведывательными службами Нидерландов и десятками других национальных агентств кибербезопасности выпустили совместное предупреждение о фишинговой кампании, которую связывают с российскими государственными структурами. Целью атак являются организации, использующие почтовую платформу Zimbra Collaboration Suite (ZCS).
По данным ведомств, группа, известная в отрасли под названием Laundry Bear (также фигурирует как Void Blizzard, CL-STA-1114 и TA488), с июля 2025 года ведёт целенаправленные атаки на государственные и коммерческие организации на Западе. Основная цель кампании — скрытое получение доступа к электронной переписке жертв.
В отличие от классического фишинга, требующего перехода по ссылке или открытия вложения, новая схема использует уязвимость, которая активируется уже при простом просмотре вредоносного письма в уязвимой версии веб-почты Zimbra.
После активации вредоносный код, встроенный в SVG-изображение внутри письма, пытается похитить переписку пользователя за последние 90 дней, адресную книгу организации, пароли, коды двухфакторной аутентификации и создать дополнительный пароль приложения для скрытого удалённого доступа через IMAP. Похищенные данные передаются на серверы, контролируемые злоумышленниками, с использованием как DNS-, так и HTTPS-каналов, замаскированных под легитимный трафик.
Аналитики отмечают, что группа ранее полагалась на менее сложные методы — подбор паролей, фишинговые сайты-двойники и перехват сессионных cookie — однако переход к эксплуатации уязвимостей нулевого дня свидетельствует о росте технических возможностей злоумышленников. При этом простота части используемого ими программного кода, по оценке специалистов, указывает на вероятное применение искусственного интеллекта в его разработке.
Среди жертв кампании — организации оборонно-промышленного комплекса, государственные структуры, учреждения образования и энергетики, правоохранительные органы, СМИ и неправительственные организации. В сообщении отдельно подчёркивается, что Украина систематически становится приоритетной целью и своего рода «испытательным полигоном» для российских кибергрупп перед распространением атак на другие страны НАТО.
Специалисты рекомендуют организациям, использующим Zimbra, срочно обновить систему до версий, где уязвимость устранена, а до обновления — временно отказаться от классического веб-клиента.
Также советуют отозвать пароли приложений и коды двухфакторной аутентификации у возможно скомпрометированных сотрудников, перейти на аутентификацию по ключам доступа и внимательнее следить за сетевым трафиком — в частности, за обращениями через VPN-сервис Mullvad, который группа часто использует для сокрытия следов.
