この脅威アクターはZimbraのゼロデイ脆弱性を悪用し、数カ月分のメールやその他の機密情報を窃取していました。
米当局は木曜日に発表した勧告の中で、ある国家支援型の脅威アクターが標的にしていると警告しました。このアクターは2025年半ば以降、Zimbra Collaboration Suiteの重大な脆弱性を悪用した巧妙なフィッシングキャンペーンを通じて、政府機関や民間企業の組織を狙っています。
サイバーセキュリティ・インフラセキュリティ庁(CISA)と国家安全保障局(NSA)によると、Laundry Bearとして知られるロシア系脅威アクターは、まずウクライナのクラウド環境を標的にした後、さまざまな産業分野の西側諸国の標的へと攻撃範囲を拡大したとのことです。
このハッカーは当初Microsoft Exchange環境に狙いを定めていましたが、その後Zimbraのゼロデイ脆弱性(CVE-2025-66376として追跡)を標的にし始め、これは2025年5月頃に始まりました。
この脆弱性は、Cascading Style SheetsのインポートディレクティブのサニタイズFailure due to improper handlingにより、攻撃者がJavascriptペイロードを実行できてしまうというものです。このCVEは2026年1月まで公開されなかったため、その間はゼロデイとして数カ月にわたり悪用が続いていたことになります。
勧告によると、この悪用により攻撃者は最大90日分のメール、ユーザーのグローバルアドレス一覧、その他の機密情報を窃取できるとのことです。また、この悪用によって攻撃者は環境への永続的なアクセスも獲得できます。
当局はユーザーに対し、直ちにシステムにパッチを適用するよう呼びかけています。すぐにパッチを適用できない場合は、別のメールクライアントに切り替えるべきだとしています。
