אזהרה משותפת של 27 סוכנויות: Laundry Bear הרוסית גונבת דואר דרך Zimbra
CISA, NSA ו-FBI עם שותפות מ-15 מדינות מזהירות: קבוצת ריגול רוסית מנצלת פרצת XSS ב-Zimbra. מספיק לפתוח מייל זדוני בלקוח הקלאסי, והקוד גונב 90 ימי דואר ונתוני אימות.
TL;DR בקצרה
- ב-23 ביולי 2026 פרסמה CISA את אזהרה AA26-204A על Laundry Bear, קבוצה רוסית שמנצלת את CVE-2025-66376 ב-Zimbra Collaboration Suite.
- הקוד רץ כשהקורבן צופה במייל בלקוח הקלאסי, גונב 90 ימי דואר, סיסמאות ונתוני אימות דו-שלבי, ויוצר Application Passcode בשם ZimbraWeb.
- התיקון קיים מנובמבר 2025, בגרסאות 10.1.13 ו-10.0.18. הקמפיין פועל לפחות מיולי 2025.
- אחרי חשד לפריצה צריך לבטל את כל ה-Application Passcodes וקודי הגיבוי, ולהחליף סיסמאות.
ב-23 ביולי 2026 פרסמה CISA אזהרה על Laundry Bear, קבוצת ריגול רוסית שמנצלת פרצה ב-Zimbra Collaboration Suite. NSA, FBI ו-20 סוכנויות מ-15 מדינות הצטרפו אליה. מספיק שהקורבן יפתח מייל זדוני בלקוח הדואר הקלאסי. הקוד רץ לבד, בלי קליק, וגונב 90 ימים של דואר.
האזהרה, AA26-204A, מתארת קמפיין שפועל לפחות מיולי 2025. Synacor סגרה את הפרצה, CVE-2025-66376, בנובמבר 2025. התוקפים ניצלו אותה לפני התיקון, כחולשת יום אפס. CISA הוסיפה אותה לקטלוג החולשות המנוצלות כבר ב-18 במרץ 2026. מי שלא עדכן את Zimbra עדיין חשוף.
איך Laundry Bear גונבת דואר מ-Zimbra בלי קליק
הפרצה היא XSS, כלומר הרצת JavaScript בדף של האתר. היא נובעת מניקוי לקוי של פקודות CSS מסוג @import בגוף המייל. כשהקורבן פותח את ההודעה בלקוח הקלאסי של Zimbra, הקוד רץ.
הכלי של הקבוצה, Ulej, פירושו כוורת ברוסית. הוא שולף את 90 הימים האחרונים של הדואר. הוא שולף גם את רשימת הכתובות הארגונית, סיסמאות ונתוני אימות דו-שלבי.
כדי לשמור גישה, הקוד מפעיל IMAP ויוצר Application Passcode בשם ZimbraWeb. לפי BleepingComputer, לקוחות ישנים כמו IMAP ו-ActiveSync לא תומכים באימות דו-שלבי מבוסס TOTP. לכן הסיסמה הזו עוקפת אותו, והתוקפים נשארים בפנים.
חלק מהקמפיין משלב פישינג. ערכות שמתחזות לדפי כניסה של Zimbra גונבות סיסמאות ועוגיות כניסה בזמן אמת. CISA מציינת את הכלי Evilginx2. את המידע הגנוב הקבוצה מעבירה לשרת משלה, בבקשות HTTPS ובשאילתות DNS.
מי היעדים ומה אומרת האזהרה
לקבוצה כמה שמות. ממשלת הולנד, דרך שירותי המודיעין AIVD ו-MIVD, קראה לה Laundry Bear. Microsoft קוראת לה Void Blizzard. יש לה גם כינויים נוספים: CL-STA-1114 ו-TA488.
היעדים הם התעשייה הביטחונית, ממשל פדרלי ומקומי וחינוך. אלה גם אנרגיה, אכיפת חוק, תקשורת, ארגונים לא ממשלתיים וטכנולוגיה. התוקפים פגעו באוקראינה בשלב הראשון, כנראה כשטח ניסוי לפני שימוש רחב. הסוכנויות מעריכות שזה כמעט בוודאות ריגול.
האזהרה לא מזכירה ישראל. אבל כל ארגון שמריץ בעצמו שרת Zimbra עם הלקוח הקלאסי חשוף.
מה זה אומר עבורכם
- עדכנו את Zimbra: התקינו גרסה 10.1.13 או 10.0.18 ומעלה. התיקון קיים מנובמבר 2025.
- אל תשתמשו בלקוח הקלאסי: אם אי אפשר לעדכן, העבירו את המשתמשים ללקוח דואר אחר.
- חפשו עקבות ביומן: ב-mailbox.log, בתיקייה /opt/zimbra/log, חפשו הרבה בקשות SearchGalRequest בזמן קצר. חפשו גם CreateAppSpecificPasswordRequest ו-GetScratchCodesRequest.
- בדקו Application Passcodes: בטלו כל passcode בשם ZimbraWeb. לפי CISA, זה כמעט בוודאות זדוני.
- אחרי חשד לפריצה: בטלו את כל ה-Application Passcodes וקודי הגיבוי. דרשו החלפת סיסמאות, והניחו שהתוקף עלול היה לשאוב גם את התוכן של מנהל הסיסמאות.
- הוסיפו שכבת הזדהות: שירות אימות חיצוני עם passkeys לפני Zimbra. CISA ממליצה על כך לשירותים בלי תמיכה מובנית.
- כבר לחצתם על קישור חשוד? מה עושים ב-24 השעות הראשונות, לפי CyberGuard.
מה הלאה אחרי האזהרה על Laundry Bear
האזהרה כוללת רשימה מלאה של מחוונים: דומיינים, כתובות IP, גיבובי תעודות וגיבובי הודעות זדוניות. היא מגיעה גם בקובץ STIX להזנה אוטומטית. צוותי אבטחה יכולים להשוות אותה ליומני הדואר וה-DNS שלהם.
CISA מזכירה גם סימנים ברשת. אלה העברות גדולות החוצה לספקי שרתים וירטואליים לא מוכרים. אלה גם שאילתות DNS עם תת-דומיינים אקראיים וכניסות לדואר דרך Mullvad VPN.
מקורות והרחבה
- Russian State-Supported Cyber Actors Conduct Phishing Campaign Targeting Users of Zimbra Collaboration Suite (AA26-204A)CISA
- Russian hackers exploit Zimbra zero-click flaw for email theftBleepingComputer
- Russian hackers exploit unpatched Zimbra servers to steal emailsHelp Net Security
- CISA Known Exploited Vulnerabilities CatalogCISA
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
