O grupo de ameaça persistente avançada russa conhecido como LAUNDRY BEAR vem comprometendo o Zimbra Collaboration Suite (ZCS) desde julho de 2025 usando um exploit baseado em visualização que dispara assim que a vítima abre um e-mail malicioso no webmail, sem exigir clique em link nem abertura de anexo. O advisory conjunto AA26-204A, divulgado em 23 de julho de 2026 pela CISA, pela NSA, pelo FBI e por mais de vinte agências aliadas, recomenda que todo SOC que opera ZCS aplique imediatamente a correção da vulnerabilidade CVE-2025-66376, busque indicadores de comprometimento nos logs do Zimbra e revise contas com Application Passcodes criadas sem autorização.
Campanha LAUNDRY BEAR contra o Zimbra
LAUNDRY BEAR — também rastreado como Void Blizzard, CL-STA-1114 e TA488 — é um grupo de espionagem com respaldo do Estado russo cujo objetivo é a coleta em massa de e-mails e dados organizacionais de alvos governamentais e comerciais ocidentais. Diferente de grupos de ransomware motivados financeiramente, não há extorsão conhecida na operação, um padrão clássico de atividade de espionagem. A campanha mira organizações da Base Industrial de Defesa, do governo federal e local, além de educação, energia, polícia, mídia, ONGs e tecnologia.
O grupo desenvolveu uma capacidade customizada chamada “Ulej” — russo para colmeia — para entregar o exploit. Segundo o advisory da CISA, antes de migrar para essa técnica mais sofisticada a LAUNDRY BEAR dependia de meios não sofisticados de acesso inicial, incluindo password spraying, phishing e pass-the-cookie, que permitiam operações de alto volume.
O exploit baseado em visualização
A vulnerabilidade CVE-2025-66376 (CWE-79, cross-site scripting) na interface de webmail do ZCS executa um payload JavaScript automaticamente no momento em que a mensagem é renderizada no cliente vulnerável. A falha era um zero-day quando a campanha começou e permanece eficaz contra qualquer instância do ZCS que não aplicou a correção do fabricante lançada em novembro de 2025.
Uma vez disparado, o exploit tenta exfiltrar os últimos 90 dias de comunicações da vítima, a Lista de Endereços Global, tokens de autenticação multifator e senhas. A persistência é estabelecida habilitando o IMAP e criando Application Passcodes na conta comprometida, além de roubar códigos de autenticação multifator conhecidos como scratch codes. Para detalhes sobre triagem de sequestro de contas em ambiente de SOC, consulte o guia de detecção e resposta a sequestro de contas.
Sinais de detecção para o SOC
O advisory lista contramedidas mapeadas ao MITRE D3FEND e recomenda monitorar um pico súbito de conexões a um servidor associado a um domínio recém-criado e buscar comandos específicos usados pelo script malicioso nos arquivos de log do ZCS. A tabela abaixo resume os sinais mais acionáveis para um SOC priorizar na triagem.
| Sinal observável | Fonte de telemetria | Ação recomendada |
|---|---|---|
| Pico de conexões a servidor de domínio recém-criado | Proxy, firewall, logs de rede | Bloquear IP e domínio, investigar o endpoint |
| Acesso ao webmail interno via provedores VPN | Logs de autenticação do ZCS | Revisar a sessão e forçar reautenticação |
| Consultas DNS a subdomínios aleatórios de domínio suspeito | Logs de DNS, SIEM | Bloquear o domínio e analisar o volume |
| Application Passcode “ZimbraWeb” no localStorage | Análise de endpoint, forense | Remover a passcode e revogar credenciais |
| Ativação de IMAP e criação de passcode sem aprovação | Logs administrativos do ZCS | Isolar a conta e redefinir senha e 2FA |
| Volume anômalo de saída para IPs de provedores VPS | NetFlow, análise de tráfego de rede | Conter o host e preservar evidências |
Resposta e contenção recomendadas
A contenção deve seguir um ciclo de vida estruturado, alinhado à publicação NIST SP 800-61, com prioridade para revogar acesso e eliminar o vetor. O procedimento abaixo consolida as etapas em ordem de execução.
- Isolar a conta comprometida e revogar todas as sessões ativas, tokens de autenticação multifator e Application Passcodes.
- Aplicar a correção do fabricante para CVE-2025-66376 em todas as instâncias do ZCS e validar que o patch eliminou o vetor.
- Buscar nos logs do ZCS os comandos específicos usados pelo script malicioso para identificar contas afetadas.
- Preservar evidências forenses — capturas de memória, imagens de disco e snapshots de logs — antes da atividade de remediação.
- Remover passcodes criadas indevidamente, desativar o IMAP não autorizado e forçar a redefinição de senha.
- Documentar a linha do tempo e conduzir a revisão pós-incidente para alimentar novas regras de detecção.
Por se tratar de um ataque de phishing que depende de mensagens maliciosas, a integração com o fluxo de triagem de phishing fortalece a detecção precoce e reduz o tempo médio de resposta. A detecção baseada em TTPs, e não apenas em indicadores fixos, aumenta a resiliência contra variações do mesmo grupo de ameaça.
