Sicherheitsbehörden aus mehr als 15 Ländern haben eine gemeinsame Warnung vor einer massiven Spionagewelle russischer Hackergruppen veröffentlicht.
Die als Laundry Bear bekannte Gruppe – auch unter den Namen Void Blizzard, CL-STA-1114 oder UAC-0190 geführt – nutzt gezielt Sicherheitslücken in der weit verbreiteten E-Mail-Software Zimbra aus. Die Warnung, koordiniert von den USA, Großbritannien, Australien, Kanada, Neuseeland und mehreren europäischen Staaten, stammt vom 23. Juli 2026.
Gefährliche Zero-Click-Exploits
Besonders perfide: Die Angreifer benötigen keine Interaktion der Opfer. Ein sogenannter Zero-Click-Exploit genügt – das bloße Öffnen oder Vorschauen einer E-Mail reicht aus, um die Schadsoftware zu aktivieren. Die Sicherheitsforscher von Unit 42 und der US-Behörde CISA haben den Angriffsvektor detailliert analysiert.
Im Kern injiziert der Exploit einen JavaScript-Code, der sensible Daten abgreift. Die Liste der Beute ist lang: komplette E-Mail-Archive der letzten 90 Tage, Suchverläufe, globale Adressbücher und Zugangsdaten. Besonders alarmierend: Auch Session-Token, CSRF-Token und Backup-Codes für die Zwei-Faktor-Authentifizierung werden gestohlen. Damit verschaffen sich die Angreifer dauerhaften Zugriff auf kompromittierte Konten.
Die Sicherheitsbranche beobachtet zudem, dass die Hackergruppe künstliche Intelligenz zur Entwicklung ihrer Exploit-Codes einsetzt. Unit 42 hat neun spezifische Kommando- und Kontroll-Server (C2) sowie Domains identifiziert, die mit der Kampagne in Verbindung stehen.
Angesichts der rasanten Entwicklung von KI-gestützten Angriffsszenarien stehen Unternehmen vor neuen rechtlichen und technischen Herausforderungen. Dieser kostenlose Leitfaden verschafft Ihnen den notwendigen Überblick über die aktuelle EU-KI-Verordnung sowie die damit verbundenen Pflichten für Ihre IT-Abteilung. EU AI Act in 5 Schritten verstehen
Von der Ukraine in die Welt
Die Spionagekampagne läuft nach Erkenntnissen der Forscher seit mindestens Juli 2025. Ursprünglich konzentrierten sich die Angriffe auf Ziele in der Ukraine. Im März 2026 registrierten Sicherheitsexperten eine deutliche Zunahme der Angriffsversuche gegen ukrainische Regierungsbehörden und kritische Infrastruktur.
Seitdem hat sich das Zielspektrum massiv ausgeweitet. Betroffen sind nun auch NATO-Mitgliedsstaaten, Länder der Gemeinschaft Unabhängiger Staaten (GUS) und afrikanische Staaten. Die betroffenen Sektoren lesen sich wie ein Who’s who der kritischen Infrastruktur:
- Verteidigung und Regierungsbehörden
- Energie- und Transportinfrastruktur
- Finanz- und Technologieunternehmen
- Bildungs- und Forschungseinrichtungen
- Medienorganisationen und Nichtregierungsorganisationen
Festnahme und rechtliche Schritte
Die Kampagne wird mit einem russischen Unternehmen namens Yutek-NN in Verbindung gebracht. Die Behörden identifizierten Denis Obrezko, einen ehemaligen Mitarbeiter des russischen Inlandsgeheimdienstes FSB und stellvertretenden Direktor bei Yutek-NN. Obrezko wurde in Thailand festgenommen und wartet derzeit in Boston auf seinen Prozess.
Die ausgenutzte Sicherheitslücke CVE-2025-66376 wurde ursprünglich im Januar 2026 veröffentlicht. Erste Patches waren jedoch bereits im November 2025 in den Zimbra-Versionen 10.0.18 und 10.1.13 verfügbar. Erst am 22. Juli 2026 veröffentlichte Zimbra ein weiteres Sicherheitsupdate für Version 10.1.20, das insgesamt neun Schwachstellen schließt – darunter auch Cross-Site-Scripting-Lücken im klassischen Web-Client.
Da herkömmliche Passwörter und Zwei-Faktor-Verfahren zunehmend ins Visier organisierter Hacker geraten, ist ein Umstieg auf moderne Sicherheitsstandards für Privatnutzer und Unternehmen gleichermaßen ratsam. Erfahren Sie in diesem Ratgeber, wie Sie Passkeys bei großen Diensten wie Amazon oder Microsoft einrichten und sich so effektiv vor Datenklau schützen. Passkeys jetzt kostenlos einrichten
Dringender Handlungsbedarf
Die Sicherheitsbehörden appellieren an alle Organisationen, die noch verwundbare Zimbra-Versionen einsetzen, die aktuellen Patches sofort zu installieren. Zusätzlich empfehlen die Experten die Einführung von Passkeys und die Überwachung der Account-Logs auf ungewöhnliche Aktivitäten der letzten 90 Tage.
Die Frage ist nicht, ob weitere Angriffe folgen, sondern nur, wie viele Organisationen die Warnung ernst nehmen, bevor der nächste Vorfall gemeldet wird.
