Eine internationale Koalition aus Geheimdiensten und Cybersicherheitsbehörden hat eine massive Spionagekampagne der russischen Hackergruppe Laundry Bear aufgedeckt. Betroffen sind tausende ungepatchte Zimbra-Mailserver.
Die Angreifer nutzen eine kritische Sicherheitslücke in der Zimbra Collaboration Suite (ZCS), um an vertrauliche Daten zu gelangen. Seit Juli 2025 sind Organisationen in NATO-Staaten, der GUS und Afrika im Visier der Gruppe, die auch unter den Namen Void Blizzard oder TA488 bekannt ist.
Zero-Click-Angriff: Gefahr aus der E-Mail-Vorschau
Die Sicherheitslücke mit der Kennung CVE-2025-66376 wurde offiziell bereits im November 2025 geschlossen. Doch ungepatchte Systeme sind weiterhin ein leichtes Ziel. Besonders perfide: Der Angriff erfordert keine Interaktion des Opfers. Schon das bloße Anzeigen einer präparierten E-Mail im Browser genügt – kein Klick auf Links, kein Öffnen von Anhängen nötig.
Die Angreifer nutzen CSS-Import-Direktiven und eine Technik namens Tag-Splitting, um JavaScript-Code im Browser des Opfers auszuführen. Erste Tests führte Laundry Bear an ukrainischen Zielen durch, bevor die Operation ausgeweitet wurde.
Umfangreiche Datendiebstähle
Einmal eingedrungen, plündern die Hacker systematisch die Mailkonten. Nach Erkenntnissen der Ermittler stehlen sie in der Regel die letzten 90 Tage E-Mails eines kompromittierten Accounts. Darüber hinaus erbeuten sie:
- Klartext-Passwörter
- Globale Adresslisten (GAL)
- Zwei-Faktor-Authentifizierungstoken
- App-Passcodes und CSRF-Token
Immer mehr Unternehmen werden Opfer von Cyberangriffen – diese Checkliste hilft Ihnen, es zu verhindern. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. Experten-Checkliste zur proaktiven Absicherung jetzt kostenlos herunterladen
Die Angriffe richten sich gegen Verteidigungsunternehmen, Regierungsbehörden, Bildungseinrichtungen, Energieversorger und Polizeibehörden. Auch Medien, NGOs, Technologiefirmen und der Transportsektor sind betroffen. Allein in den letzten Monaten wurden über zehn Organisationen gezielt attackiert.
Technische Infrastruktur und Verbindungen nach Russland
Laundry Bear setzt auf ein eigenes Framework namens Flowerbed, das auf Python und Docker basiert. Ein weiteres Werkzeug mit dem Namen Ulej dient der Koordination der Angriffe. Sicherheitsforscher vermuten, dass die Gruppe KI-gestützte Code-Generierung nutzt, um Exploits zu entwickeln und Schutzmechanismen zu umgehen.
Die Angreifer wechseln ihre Infrastruktur regelmäßig. Forscher von Palo Alto Unit 42 identifizierten neun IP-Adressen und neun Domains, die mit der Kampagne in Verbindung stehen. Die Kommando-Server blieben im Schnitt nur etwa 35 Tage aktiv.
Die Ermittlungen führen zu einem russischen Unternehmen: Yutek-NN. Dessen stellvertretender Direktor Denis Obrezko wurde bereits angeklagt. Cybersicherheitsexperten vermuten zudem, dass die spezifischen Exploit-Werkzeuge direkt vom russischen Geheimdienst bereitgestellt wurden.
Neue KI-Gesetze, neue Cyberrisiken: Was kommt wirklich auf Ihr Unternehmen zu? Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Kostenlosen Cyber-Security-Report für Unternehmen anfordern
Dringende Schutzmaßnahmen
Die Behörden fordern alle Organisationen mit Zimbra-Installationen auf, sofort auf Version 10.1.13 oder neuer zu aktualisieren. Die Sicherheitslücke wurde bereits am 18. März 2026 in den Katalog bekannter ausgenutzter Schwachstellen (KEV) der US-Behörde CISA aufgenommen.
Netzwerkadministratoren sollten umgehend:
- Systemlogs auf die bekannten IP-Adressen und Domains prüfen
- Zugriffe auf 2FA-Token-Generierung überwachen
- Ungewöhnliche Muster beim E-Mail-Abfluss analysieren
Die gemeinsame Warnung von FBI, NSA, CISA und dem britischen NCSC unterstreicht die Dringlichkeit: Wer Zimbra noch nicht gepatcht hat, riskiert den vollständigen Datenverlust an einen russischen Spionagedienst.
