Russische Spionagegruppe greift Westen mit Zimbra-Exploit an
Eine von Russland staatlich unterstützte Cyber-Spionagegruppe namens Laundry Bear stiehlt sensible Daten von Regierungsbehörden und Privatunternehmen in westlichen Ländern unter Verwendung eines neuartigen Zero-Day-Exploits in der beliebten E-Mail-Software Zimbra. Der Angriff wird mit einer Methode durchgeführt, die nur das Öffnen der E-Mail erfordert, ohne dass Klicks notwendig sind.
Was ist passiert
Eine von Russland staatlich unterstützte Cyber-Spionagegruppe führt eine großangelegte Cyberangriffskampagne durch, die auf Regierungen und Unternehmen in kritischen Sektoren in westlichen Ländern abzielt. Laut einer gemeinsamen Sicherheitswarnung, die von den Cybersicherheitsbehörden der Vereinigten Staaten und 16 verbündeten Nationen herausgegeben wurde, nutzt die Gruppe, die als "Laundry Bear" oder "Void Blizzard" bezeichnet wird, eine bisher unbekannte Schwachstelle in der beliebten Linux-basierten Unternehmens-E-Mail-Software Zimbra Collaboration Suite aus. Das Hauptziel dieser Spionageaktivitäten wird darin gesehen, durch den Zugriff auf sensible Informationen einen strategischen Vorteil zu erlangen, anstatt finanziellen Gewinn zu erzielen.
Dem Bericht zufolge begannen die Angriffe im Juli 2025, und die Gruppe nutzt seitdem diese Zero-Day-Schwachstelle, um ihre Ziele zu infiltrieren. Der Patch zur Behebung der Sicherheitslücke wurde erst im November 2025 veröffentlicht. Während dieses fünfmonatigen Zeitfensters hatten die Angreifer die Möglichkeit, unentdeckt zahlreiche Systeme zu infiltrieren und Daten zu stehlen. Behörden betonen, dass Organisationen, die ihre Systeme nicht aktualisiert haben, immer noch aktiv von dieser Gruppe angegriffen werden und einem erheblichen Risiko ausgesetzt sind, obwohl ein Patch verfügbar ist. Die Tatsache, dass die Aktivitäten der Gruppe ein Jahr nach Beginn der Kampagne andauern, unterstreicht die Ernsthaftigkeit der Bedrohung.
Eine Erklärung aus der gemeinsamen Sicherheitswarnung fasst den Ernst der Lage deutlich zusammen: "Die verdeckte und hartnäckige Natur dieser Aktivität, zusammen mit dem Fehlen jeglicher bekannter finanzieller Erpressungsversuche, deutet mit ziemlicher Sicherheit auf die Beteiligung dieser Gruppe an Spionageaktivitäten mit Unterstützung der russischen Regierung hin." Diese Feststellung bestätigt, dass die Motivation der Laundry Bear-Gruppe ausschließlich auf der Sammlung von Informationen liegt. Staatliche Unterstützung ermöglicht es der Gruppe, komplexere und längerfristige Operationen durchzuführen.
Exfiltrierte Daten
Die Art der Daten, die von den Angreifern unter Ausnutzung dieser Schwachstelle exfiltriert wurden, offenbart klar den Zweck ihrer Spionageaktivitäten. Der Angriff, der allein durch das Anzeigen einer E-Mail ausgelöst wird, erfordert vom Opfer kein Klicken auf Links oder Herunterladen von Anhängen. Nach einer erfolgreichen Infiltration sind die Informationen, auf die Laundry Bear Zugriff erhält, umfangreich und von entscheidender Bedeutung:
- E-Mail-Archiv der letzten 90 Tage: Die Angreifer exfiltrieren die gesamte E-Mail-Korrespondenz aus dem Konto des Opfers der letzten drei Monate. Dies verschafft ihnen tiefgreifende Kenntnisse über Projekte, strategische Pläne, persönliche Kommunikation und interne Unternehmensdynamiken.
- Kontopasswort: Das Passwort des Zimbra-Kontos des Opfers wird gestohlen. Wenn dieses Passwort auch auf anderen Plattformen wiederverwendet wird, könnte es den Angreifern die Tür zu anderen Systemen öffnen.
- Suchverlauf: Der gesamte Suchverlauf innerhalb des E-Mail-Kontos wird kompromittiert. Diese Daten sind eine wertvolle Informationsquelle, die zeigt, auf welche Themen, Personen oder Projekte sich das Opfer konzentriert.
- Unternehmens-E-Mail-Verzeichnis: Es wird Zugriff auf das gesamte E-Mail-Verzeichnis der Organisation des Opfers erlangt. Dieses Verzeichnis wird dann verwendet, um eine Liste potenzieller Ziele für zukünftige Phishing-Angriffe zu erstellen.
- Zwei-Faktor-Authentifizierungs (2FA) -Token: Die Angreifer können mit dem Konto verknüpfte Zwei-Faktor-Authentifizierungs-Token stehlen. Dies ermöglicht es ihnen, die zusätzliche Sicherheitsebene der 2FA zu umgehen und die volle Kontrolle über das Konto zu erlangen.
- Neu erstellte Passwörter: Alle neuen Passwörter, die nach der Kompromittierung im Konto erstellt oder geändert werden, können ebenfalls gestohlen werden. Dies stellt sicher, dass die Angreifer den Zugriff behalten, auch wenn das Opfer ein Problem bemerkt und sein Passwort ändert.
Wie der Angriff durchgeführt wurde
Die von Laundry Bear bei dieser Operation verwendeten Methoden demonstrieren die fortgeschrittenen technischen Fähigkeiten der Gruppe. Die Angriffskette besteht aus sorgfältig ausgearbeiteten Schritten, die auf ausgewählte Ziele ausgerichtet sind. Zuerst identifiziert die Gruppe Zielorganisationen aus öffentlich zugänglichen Quellen. Nachdem sie bestätigt haben, dass diese Organisationen einen Zimbra-Server verwenden, kompilieren sie E-Mail-Adressen von Mitarbeitern in diesen Organisationen.
Der Schlüssel zum Angriff ist die Zero-Day-Schwachstelle, die als CVE-2025-66376 verfolgt wird. Diese Schwachstelle wird ausgelöst, wenn das Opfer eine speziell gestaltete Phishing-E-Mail öffnet. Die E-Mail enthält eine benutzerdefinierte JavaScript-Nutzlast, die ohne jegliche Benutzerinteraktion ausgeführt wird. Während der E-Mail-Client die Nachricht rendert, wird dieser Code automatisch ausgeführt, was den Angreifern den ersten Zugriff auf das System ermöglicht. Dieser "No-Click"-Angriffsvektor ist äußerst gefährlich, da er selbst die vorsichtigsten Benutzer verwundbar macht.
Behörden geben an, dass die Angreifer eine benutzerdefinierte Fähigkeit zur Datensammlung und -exfiltration mit dem Namen "beehive" (Bienenstock) entwickelt haben. Es wird angenommen, dass dieser Mechanismus die gestohlenen Daten effizient verpackt und an von den Angreifern kontrollierte Server sendet. Der Bericht warnt auch davor, dass diese "beehive"-Fähigkeit wahrscheinlich angepasst werden könnte, um andere Schwachstellen auszunutzen. Die Tatsache, dass die Schwachstelle mit einem mittleren Schweregrad von 6.1 im Common Vulnerability Scoring System (CVSS) bewertet wurde, ist ein weiterer Beleg dafür, wie irreführend es für Verteidiger sein kann, das Patchen allein nach Schweregraden zu priorisieren.
Wer war betroffen
Die Zielliste für diese Spionagekampagne ist recht breit gefächert. Die Opfer sind nicht auf Regierungsbehörden beschränkt. Laundry Bear hat öffentliche und private Organisationen in zahlreichen strategisch wichtigen Sektoren ins Visier genommen. Dazu gehören Verteidigung, Bildung, Energie, Strafverfolgung, Medien, Finanzen, Verkehr und Technologie. Eine spezifische Liste der betroffenen Organisationen oder eine klare geografische Aufschlüsselung der Angriffe wurde der Öffentlichkeit noch nicht mitgeteilt.
Ein weiterer bemerkenswerter Punkt ist die Angriffsstrategie der Gruppe. Laut dem Bericht der Behörden wurde dieser Angriff, als wachsender Trend unter russischen Cyber-Bedrohungsgruppen, zuerst in der Ukraine getestet, bevor er gegen westliche Länder und NATO-Verbündete eingesetzt wurde. Dies deutet darauf hin, dass die Ukraine sowohl als vorrangiges Ziel als auch als Testfeld für neue Cyberwaffen und -techniken genutzt wird.
Die Länder, die die gemeinsame Warnung herausgegeben haben, unterstreichen die globale Dimension der Bedrohung. Zu den Unterzeichnern gehören die Vereinigten Staaten, Australien, Kanada, Neuseeland, das Vereinigte Königreich, die Tschechische Republik, Dänemark, Estland, Finnland, Frankreich, Italien, Moldawien, die Niederlande, Polen, Spanien und Schweden.
Was Sie tun können
Die Behörden fordern Organisationen auf, unverzüglich Maßnahmen zu ergreifen, um sich vor dieser Bedrohung zu schützen. Die folgenden Maßnahmen sind entscheidend, um die Sicherheit der Systeme zu gewährleisten:
- Sofort aktualisieren: Alle Organisationen, die Zimbra Collaboration Suite verwenden, müssen den Patch für CVE-2025-66376 und alle nachfolgenden Sicherheitsupdates unverzüglich installieren. Es ist von entscheidender Bedeutung, dass Server, insbesondere solche mit öffentlich zugänglicher Infrastruktur, auf dem neuesten Stand sind.
- Indikatoren für Kompromittierung (IOCs) verwenden: Die Sicherheitswarnung enthielt technische Indikatoren, die mit den Angreifern in Verbindung stehen. Sicherheitsteams sollten diese IOCs (IP-Adressen, Datei-Hashes usw.) verwenden, um eine retrospektive Überprüfung ihrer Netzwerke und Systeme durchzuführen und nach Anzeichen eines Einbruchs zu suchen.
- Fortgeschrittene Bedrohungssuche durchführen: Aufgrund der verdeckten Natur des Angriffs wurde er möglicherweise von Standard-Sicherheitstools nicht erkannt. Organisationen wird empfohlen, proaktive Bedrohungssuchen durchzuführen, indem sie den Netzwerkverkehr, die E-Mail-Serverprotokolle und anomales Benutzerverhalten analysieren.
- Zugriffskontrollen überprüfen: Die Überprüfung der Berechtigungen von Konten mit Zugriff auf das Unternehmens-E-Mail-Verzeichnis und andere sensible Daten und deren Neukonfiguration nach dem Prinzip der geringsten Privilegien kann das Risiko verringern.
Was das Unternehmen sagt
Die gemeinsame Sicherheitswarnung und der Quellartikel enthalten keine Stellungnahme von Zimbra, dem Softwareentwickler, zu dieser spezifischen Spionagekampagne. Das Unternehmen hat jedoch den Sicherheitspatch, der die Schwachstelle CVE-2025-66376 behebt, im November 2025 veröffentlicht. Den Benutzern wird geraten, ihre Systeme so schnell wie möglich zu aktualisieren.
Quelle
Dieser Inhalt wurde mithilfe künstlicher Intelligenz über unsere Argus Flow-Anwendung erstellt. Wir arbeiten kontinuierlich an der Verbesserung von Argus Flow; sollten Sie auf Übersetzungsfehler, falsche Quellen oder unbestätigte Informationen stoßen, können Sie uns dies über die Schaltfläche unten melden. Wir danken Ihnen für Ihr Feedback.