Peretas Rusia Eksploitasi Celah Zero-Click Zimbra untuk Mencuri Email
CISA memperingatkan bahwa kelompok peretas Rusia Laundry Bear, yang juga dilacak sebagai Void Blizzard, menargetkan organisasi pengguna server email Zimbra Collaboration dengan menggabungkan phishing dan eksploitasi celah Zimbra yang sudah ditambal.
Celah yang dieksploitasi adalah CVE-2025-66376, sebuah kerentanan cross-site scripting (XSS) pada Zimbra Collaboration Suite Classic UI. Celah ini memungkinkan JavaScript di dalam email HTML khusus berjalan otomatis saat pesan dibuka di webmail, tanpa korban perlu mengklik tautan atau mengunjungi situs phishing.
Menurut CISA, Laundry Bear mengeksploitasi celah tersebut sebagai zero-day sebelum Zimbra merilis patch pada November 2025. Meski sudah ditambal, kelompok ini masih menargetkan organisasi yang menjalankan server Zimbra tanpa pembaruan keamanan.
Data Email dan Token 2FA Ikut Dicuri
Eksploitasi tersebut digunakan untuk mengumpulkan email korban selama 90 hari terakhir, alamat email, password, Global Address List (GAL), serta token two-factor authentication (2FA).
Pelaku juga membuat application passcode Zimbra baru untuk mempertahankan akses ke akun email. Passcode semacam ini biasanya digunakan oleh email client lama seperti IMAP atau ActiveSync yang tidak mendukung alur autentikasi TOTP.
Dengan application passcode, penyerang dapat tetap mengakses akun meski MFA aktif. Karena itu, administrator tidak cukup hanya mereset password, tetapi juga perlu mencabut passcode tidak sah.
Eksfiltrasi Lewat DNS dan HTTPS
Data yang dicuri dikirim ke server pelaku melalui DNS dan HTTPS. Data kecil dikodekan dalam DNS A-record queries, sementara payload besar seperti mailbox diunggah melalui HTTPS sebagai arsip terkompresi.
Selain mengeksploitasi celah zero-click, Laundry Bear juga memakai adversary-in-the-middle (AiTM) phishing kit yang meniru portal login Zimbra untuk mencuri kredensial dan session cookie.
Target Mencakup Pemerintah dan Sektor Strategis
Target kampanye ini mencakup organisasi di sektor Defense Industrial Base, pemerintah federal dan lokal, pendidikan, energi, penegakan hukum, media, organisasi non-pemerintah, dan teknologi.
Laundry Bear pertama kali dikaitkan dengan operasi spionase siber oleh badan intelijen Belanda pada Mei 2025. Microsoft melacak kelompok yang sama dengan nama Void Blizzard, dengan fokus utama pada target yang terkait kepentingan strategis Rusia, termasuk NATO dan Ukraina.
Organisasi yang mendukung Ukraina, termasuk sektor pertahanan, transportasi, dan aviasi, juga pernah menjadi target kompromi kelompok ini. Dengan akses ke mailbox korban, pelaku dapat memperoleh komunikasi internal, dokumen operasional, dan informasi strategis yang bernilai tinggi.
Rekomendasi Mitigasi untuk Administrator Zimbra
Administrator Zimbra perlu segera memperbarui software ke versi terbaru untuk memastikan seluruh patch keamanan terpasang. Server yang masih menjalankan versi rentan harus diperlakukan sebagai prioritas tinggi karena eksploitasi aktif telah terkonfirmasi.
Selain patching, organisasi perlu meninjau application passcode yang tidak sah, terutama yang terkait dengan label ZimbraWeb. Passcode mencurigakan harus segera dicabut dan akun terkait perlu diperiksa untuk tanda akses mailbox yang tidak wajar.
CISA juga merekomendasikan penerapan phishing-resistant multi-factor authentication jika memungkinkan. Pemantauan DNS, HTTPS upload mencurigakan, dan aktivitas login dari lokasi tidak biasa juga penting untuk mendeteksi kemungkinan kompromi yang sudah berlangsung.
Sumber: CISA
