Eksperci ds. cyberbezpieczeństwa ostrzegają przed wyjątkowo niebezpieczą kampanią szpiegowską prowadzoną przez rosyjską grupę hakerską Laundry Bear, znaną również jako Void Blizzard.
Ataki trwają co najmniej od lipca 2025 roku i wykorzystują lukę w popularnym systemie pocztowym Zimbra Collaboration Suite. Najbardziej niepokojące jest jednak to, że ofiara nie musi nawet kliknąć w link ani otworzyć załącznika – wystarczy samo wyświetlenie wiadomości e-mail.
Zimbra Collaboration Suite (ZCS) to popularna platforma do obsługi poczty elektronicznej i pracy grupowej, wykorzystywana przez firmy, uczelnie oraz instytucje publiczne na całym świecie. Oprócz poczty e-mail oferuje również kalendarze, książki adresowe, zarządzanie zadaniami i współdzielone dokumenty. Ze względu na szerokie zastosowanie w administracji i dużych organizacjach system ten od lat znajduje się w kręgu zainteresowania cyberprzestępców.
Wystarczy odczytać wiadomość
O kampanii poinformowało wspólnie aż 27 agencji rządowych z USA, Wielkiej Brytanii oraz innych państw sojuszniczych. Według ich ustaleń celem rosyjskich cyberprzestępców jest przede wszystkim pozyskiwanie poufnych informacji z organizacji rządowych i przedsiębiorstw działających w strategicznych sektorach gospodarki.
Atak wykorzystuje podatność oznaczoną jako CVE-2025-66376, czyli lukę typu Cross-Site Scripting (XSS) w webowej wersji systemu Zimbra Collaboration Suite. Chociaż producent udostępnił poprawkę w listopadzie 2025 roku, rosyjscy hakerzy wykorzystywali podatność jeszcze przed jej publicznym ujawnieniem i załataniem.
Luka pozwala osadzić w wiadomości e-mail złośliwy kod JavaScript. Gdy użytkownik otworzy taką wiadomość w przeglądarkowej wersji Zimbry, skrypt uruchamia się automatycznie, bez konieczności wykonywania jakiejkolwiek dodatkowej czynności.
Atakują instytucje i firmy z wielu sektorów
Według opublikowanego raportu celem kampanii były organizacje działające w sektorach obronnym, administracji państwowej i samorządowej, energetyce, edukacji, organach ścigania, mediach, organizacjach pozarządowych oraz firmach technologicznych.
Do rozsyłania złośliwych wiadomości wykorzystywano różne adresy e-mail, które miały sprawiać wrażenie wiarygodnych i zachęcać odbiorców do otwarcia korespondencji.
Kradzież danych rozpoczyna się natychmiast
Po wyświetleniu wiadomości atakujący uzyskiwali możliwość przejęcia ogromnej ilości danych z konta ofiary. Obejmowało to korespondencję z ostatnich 90 dni, książki adresowe organizacji, dane logowania, hasła, tokeny uwierzytelniania dwuskładnikowego oraz nowo utworzone hasła aplikacyjne.
Zdobyte informacje pozwalały hakerom utrzymywać długotrwały dostęp do skrzynek pocztowych. Zmieniali oni ustawienia kont, pozyskiwali kolejne dane uwierzytelniające i stale monitorowali komunikację swoich ofiar.
Skradzione dane trafiały następnie na serwer VPS obsługujący autorskie narzędzie o nazwie Flowerbed.
AI mogła pomóc w stworzeniu narzędzia
Ciekawym elementem raportu jest informacja, że eksperci znaleźli ślady sugerujące wykorzystanie sztucznej inteligencji podczas tworzenia oprogramowania Flowerbed. Nie oznacza to, że AI prowadziła sam atak, ale mogła zostać użyta do wygenerowania części kodu lub przyspieszenia prac programistycznych.
To kolejny przykład pokazujący, że cyberprzestępcy coraz chętniej sięgają po narzędzia oparte na generatywnej sztucznej inteligencji, aby szybciej rozwijać własne złośliwe oprogramowanie.
Jak się chronić?
Agencje bezpieczeństwa zalecają administratorom jak najszybszą aktualizację serwerów Zimbra Collaboration Suite do wersji zawierającej poprawkę eliminującą lukę CVE-2025-66376. Do czasu przeprowadzenia aktualizacji rekomendowane jest również ograniczenie korzystania z webowej wersji klienta pocztowego Zimbra.
Raport zawiera także szczegółową, liczącą 31 stron listę wskaźników kompromitacji (IOC), która może pomóc organizacjom sprawdzić, czy ich infrastruktura nie została już naruszona.
Rosnąca skala tego typu kampanii pokazuje, że współczesne ataki phishingowe stają się coraz bardziej zaawansowane. W wielu przypadkach nie trzeba już klikać podejrzanych linków ani pobierać załączników – samo otwarcie odpowiednio przygotowanej wiadomości może wystarczyć, aby cyberprzestępcy przejęli kontrolę nad skrzynką pocztową.
Foto: DepositPhotos.