CISA memperingatkan bahwa kelompok peretasan yang disponsori negara Rusia, Laundry Bear, juga dikenal sebagai Void Blizzard, menargetkan organisasi yang menggunakan server email Kolaborasi Zimbra dengan menggabungkan serangan phishing dengan eksploitasi kerentanan Zimbra yang kini telah ditambal.
Menurut CISA, Laundry Bear telah menargetkan dan membahayakan pengguna di organisasi yang terkait dengan Pangkalan Industri Pertahanan (DIB), pemerintah federal dan lokal, pendidikan, energi, penegakan hukum, media, organisasi non-pemerintah, dan teknologi.
Para penyerang mengeksploitasi Zimbra CVE-2025-66376 kelemahannya, kerentanan skrip lintas situs (XSS) yang memengaruhi UI Klasik Zimbra Collaboration Suite.
Cacat ini memungkinkan JavaScript yang tertanam dalam email HTML yang dibuat khusus untuk dijalankan secara otomatis ketika korban melihat pesan tersebut, memungkinkan penyerang mencuri data akun tanpa mengharuskan pengguna mengeklik tautan atau mengunjungi situs phishing.
Menurut CISA, Laundry Bear mengeksploitasi kelemahan tersebut sebagai zero-day sebelum Zimbra menambalnya pada bulan November 2025 dan terus menargetkan organisasi yang menjalankan server yang belum ditambal. Kerentanannya terjadi kemudian ditandai oleh CISA sebagai dieksploitasi secara aktif dalam serangan.
CISA mengatakan eksploitasi Laundry Bear digunakan untuk secara otomatis mengumpulkan dan mengirim email, alamat email, kata sandi, Daftar Alamat Global (GAL), dan token otentikasi dua faktor (2FA) selama 90 hari terakhir kepada korban.
Penyerang juga membuat dan mengirim kembali kode sandi aplikasi Zimbra baru, yang digunakan oleh klien email lama seperti IMAP atau ActiveSync yang tidak mendukung alur otentikasi TOTP. Menggunakan kode sandi memungkinkan penyerang mempertahankan akses ke akun email sambil melewati MFA.
Menurut CISA, malware tersebut mengekstrak informasi yang dicuri melalui DNS dan HTTPS ke server yang dikendalikan aktor yang menjalankan kerangka pengumpulan “Flowerbed” milik grup tersebut.
Data yang lebih kecil dikodekan dan dikirimkan dalam kueri DNS A-record, sementara muatan yang lebih besar, termasuk data kotak surat, diunggah melalui HTTPS sebagai arsip terkompresi ke server yang dikendalikan penyerang.
Selain mengeksploitasi kelemahan Zimbra, Laundry Bear juga menggunakan kit phishing adversary-in-the-middle (AiTM) yang dirancang untuk meniru portal login Zimbra yang sah, mencuri kredensial dan cookie sesi, sehingga memungkinkan penyerang mendapatkan akses ke akun email target.
CISA merilis IOC yang menunjukkan kampanye tersebut menggunakan situs yang meniru infrastruktur Zimbra, menggunakan nama domain seperti ‘mailnalysis.com’, ’emailanalytics.com.ua’, ‘zimbrastat.com’, ‘zimbra-metadata.com’, ‘istc-cloud.com’, dan ‘zmailanalytics.com’.
Penasihat ini merekomendasikan organisasi yang menggunakan Zimbra:
- Perbarui perangkat lunak ke versi terbaru untuk menginstal semua pembaruan keamanan yang tersedia.
- Tinjau indikator kompromi yang dipublikasikan.
- Selidiki sistem untuk koneksi ke domain dan alamat IP yang teridentifikasi.
- Pantau aktivitas autentikasi yang mencurigakan.
- Cabut kode sandi aplikasi apa pun yang tidak sah, terutama yang memiliki ‘ZimbraWeb’.
- Tinjau akun untuk akses kotak surat yang tidak sah.
CISA juga merekomendasikan penerapan autentikasi multifaktor yang tahan terhadap phishing jika memungkinkan.
Laundry Bear menargetkan pemerintah, polisi, dan Ukraina
Kelompok peretas Laundry Bear pertama kali dikaitkan dengan serangan spionase dunia maya pada Mei 2025 oleh badan intelijen Belanda.
Badan-badan Belanda secara terbuka mengaitkan kelompok itu dengan serangan tahun 2024 kompromi dari Kepolisian Nasional Belanda yang mengungkap informasi pribadi personel polisi dan mengarah pada identifikasi kelompok spionase Rusia yang sebelumnya tidak dikenal.
Microsoft melacak grup yang sama dengan nama Void Blizzard.
Setidaknya sejak tahun 2024, kelompok ini telah berfokus pada pengumpulan intelijen terhadap organisasi-organisasi yang selaras dengan kepentingan strategis Rusia, terutama menargetkan negara-negara anggota NATO dan Ukraina.
Microsoft punya juga didokumentasikan kompromi yang berhasil dari organisasi-organisasi yang mendukung Ukraina, termasuk entitas di sektor pertahanan, transportasi, dan penerbangan.
Awal tahun ini, BleepingComputer melaporkan secara terpisah Kampanye Laundry Bear menargetkan militer Ukraina menggunakan email phishing bertema amal untuk mengirimkan malware yang menyamar sebagai permintaan donasi.
Uji setiap lapisan sebelum penyerang melakukannya
Tim keamanan mencatat 54% serangan yang berhasil dan hanya memberikan peringatan 14%. Sisanya bergerak melalui lingkungan Anda tanpa terlihat.
Whitepaper Picus menunjukkan bagaimana simulasi pelanggaran dan serangan menguji aturan SIEM dan EDR Anda sehingga ancaman berhenti lolos saat terdeteksi.
