Sicherheitsexperten haben eine großangelegte russische Cyber-Kampagne identifiziert, die Endgeräte allein durch das Öffnen einer E-Mail infizieren kann. Die staatlich unterstützte Gruppierung „Laundry Bear“ nutzt dabei eine kritische Schwachstelle in der Zimbra Collaboration Suite aus, um sensible Daten von Regierungsstellen, Militäreinrichtungen und Unternehmen weltweit zu entwenden.
Die als CVE-2025-66376 identifizierte Schwachstelle betrifft den Zimbra Classic Web Client. Es handelt sich dabei um eine sogenannte Stored-Cross-Site-Scripting-Lücke (XSS), die es Angreifern ermöglicht, bösartigen JavaScript-Code auszuführen, sobald ein Nutzer eine manipulierte Nachricht lediglich ansieht. Ein aktives Klicken auf Links oder das Herunterladen von Anhängen ist für die Infektion nicht erforderlich, weshalb Experten von einem Zero-Click-Exploit sprechen.
Umfangreiche Datendiebstähle bei Behörden und Konzernen
Den Analysen zufolge zielt die Kampagne auf ein breites Spektrum strategisch relevanter Sektoren ab. Dazu gehören neben dem Verteidigungssektor und Regierungsbehörden auch Einrichtungen aus den Bereichen Bildung, Energie, Strafverfolgung sowie Medien und Nichtregierungsorganisationen. Geografisch konzentrieren sich die Angriffe auf NATO-Mitgliedstaaten, die Ukraine, die USA sowie verschiedene Regionen in Afrika.
Rekord-Schäden durch Phishing: Warum immer mehr Unternehmen jetzt auf Awareness-Kampagnen setzen. Experten erklären im kostenlosen Anti-Phishing-Paket, wie Ihr Unternehmen sich wirksam schützen kann. Anti-Phishing-Paket jetzt kostenlos herunterladen
Durch den Exploit ist die Gruppierung in der Lage, weitreichende Zugriffe auf die betroffenen Systeme zu erhalten. Berichten zufolge wurden gezielt E-Mails der jeweils letzten 90 Tage, globale Adresslisten (GAL) sowie Passwörter entwendet. Besonders kritisch bewerten Sicherheitsforscher den Diebstahl von Sitzungs-Tokens und Codes für die Zwei-Faktor-Authentisierung (2FA), da dies den Angreifern eine dauerhafte Persistenz in den Netzwerken ermöglichen kann.
Professionelle Infrastruktur und Einsatz von KI vermutet
Die unter Pseudonymen wie „Void Blizzard“ oder „TA488“ bekannte Gruppe „Laundry Bear“ agiert nach Erkenntnissen internationaler Sicherheitsbehörden bereits seit Juli 2025. Für ihre technische Infrastruktur nutzen die Akteure Docker-Container auf gemieteten Cloud-Servern und verschleiern ihre Aktivitäten über den VPN-Dienst Mullvad. Um einer Entdeckung zu entgehen, werden die genutzten Server in regelmäßigen Zyklen von 7 bis 60 Tagen gewechselt. Analysten halten es zudem für möglich, dass bei der Erstellung des bösartigen Programmcodes künstliche Intelligenz zum Einsatz kam.
Neue KI-Gesetze, neue Cyberrisiken: Was kommt wirklich auf Ihr Unternehmen zu? Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Kostenlosen Cyber-Security-Report sichern
In einem gemeinsamen Sicherheitshinweis haben Behörden aus den USA, Großbritannien, Kanada, Australien, den Niederlanden und weiteren Partnern vor der anhaltenden Bedrohung gewarnt. Die US-Cybersicherheitsbehörde CISA hatte die Schwachstelle im März 2026 in ihre Liste der bekanntlich ausgenutzten Sicherheitslücken (KEV) aufgenommen.
Empfehlungen für betroffene Organisationen
Ein offizieller Patch zur Behebung der Sicherheitslücke wurde bereits im November 2025 veröffentlicht. Betroffen sind die Versionen der Zimbra Collaboration Suite (ZCS) 10 vor der Version 10.0.18 sowie die Versionen der Reihe 10.1 vor 10.1.13.
IT-Sicherheitsexperten raten Administratoren dringend dazu, die installierten Zimbra-Instanzen auf die neuesten verfügbaren Versionen zu aktualisieren. Da die Angreifer versuchen, über anwendungsspezifische Passwörter dauerhaften Zugriff zu behalten, wird neben dem Einspielen der Updates eine verstärkte Überwachung der Log-Dateien sowie eine Überprüfung bestehender Zugangsdaten empfohlen.
