Російські хакери понад рік використовували вразливість поштової платформи Zimbra для шпигування за українськими та західними установами. Щоб заразити систему, жертві було достатньо лише відкрити електронний лист — переходити за посиланнями або завантажувати файли не потрібно.
Про це пише TechRadar.
Фахівці компанії Proofpoint назвали такий метод атакою «у пів кліка». Шкідливий код запускався одразу після перегляду листа у вебінтерфейсі Zimbra.
Хакери використовували вразливість міжсайтового скриптингу XSS. Вона отримала ідентифікатор CVE-2025-66376 та оцінку небезпеки 7,2 бала з 10.
Розробники випустили виправлення у листопаді 2025 року. Однак зловмисники почали користуватися вразливістю ще до появи офіційного оновлення.
До кампанії пов’язують угруповання TA488, відоме також як Laundry Bear і Void Blizzard. Його цілями ставали державні та військові установи України, країн НАТО і підприємства оборонної промисловості.
Після проникнення хакери намагалися закріпитися в системі та зберегти постійний доступ до поштових скриньок.
Зловмисники викрадали вміст листів, адресні книги, списки контактів та іншу службову інформацію.
Також їх цікавили токени двофакторної автентифікації. Отримання таких даних могло допомогти обходити додатковий захист облікових записів.
Аналітики не фіксували активності TA488 з лютого 2026 року. Це сталося після публікації дослідження компанії Seqrite, у якому детально описали інфраструктуру та методи угруповання.
Після оприлюднення інформації хакери, ймовірно, знищили частину своєї інфраструктури та припинили кампанію. Водночас установам, які користуються Zimbra, радять перевірити наявність оновлень і встановити всі виправлення безпеки.