Nhóm APT liên kết Nga khai thác lỗ hổng Zimbra để đánh cắp dữ liệu ngay khi xem email
"A Russian-linked threat group tracked as Laundry Bear (aka Void Blizzard) has been exploiting CVE-2025-66376, a cross-site scripting flaw in Zimbra Collaboration Suite, to compromise government and commercial organizations since July 2025. The campaign uses malicious HTML emails that trigger on view, enabling credential theft, email exfiltration, and persistence; Zimbra patched the issue in November 2025 and organizations are advised to update and limit use of the webmail client until patched."
Rủi ro cao do khai thác CVE-2025-66376 (XSS) cho phép kích hoạt chỉ bằng hành vi xem email, dẫn tới đánh cắp thông tin xác thực và dữ liệu hộp thư.
Có thể gây gián đoạn vận hành và tăng chi phí xử lý sự cố do mất quyền truy cập email, ảnh hưởng trao đổi nội bộ và yêu cầu rà soát/khắc phục trên diện rộng.
Các cơ quan an ninh tại Mỹ, Anh và nhiều quốc gia khác cho biết một nhóm đe dọa liên kết Nga, được theo dõi với tên Laundry Bear (còn gọi Void Blizzard), đã tiến hành xâm nhập mạng chính phủ và doanh nghiệp trong ít nhất từ tháng 7/2025. Điểm đáng chú ý của chiến dịch là kịch bản tấn công không cần người dùng bấm liên kết hay mở tệp; chỉ cần xem email là mã độc có thể kích hoạt.
Theo cảnh báo, nhóm này khai thác CVE-2025-66376, một lỗ hổng cross-site scripting (XSS) trong Zimbra Collaboration Suite (ZCS). Lỗ hổng được vá vào tháng 11/2025, nhưng kẻ tấn công đã lợi dụng từ trước đó bằng cách gửi email HTML chứa nội dung độc hại. Các tổ chức bị nhắm tới gồm lĩnh vực quốc phòng công nghiệp, chính phủ trung ương/địa phương, giáo dục, năng lượng, thực thi pháp luật, truyền thông, tổ chức phi chính phủ và công nghệ.
Khi email được hiển thị, kẻ tấn công có thể trích xuất 90 ngày trao đổi email, địa chỉ email và mật khẩu, global address lists, token 2FA và application passcodes, sau đó duy trì truy cập bằng cách thay đổi cấu hình tài khoản và thu thập thông tin xác thực. Cơ quan chức năng khuyến nghị cập nhật ZCS lên bản đã vá và giảm/giới hạn sử dụng webmail cho đến khi khắc phục; đồng thời rà soát IOC để phát hiện dấu hiệu bị xâm nhập.