Eine Allianz aus 16 Nationen, darunter die US-Behörden CISA, NSA und FBI sowie Partner aus dem Vereinigten Königreich, Australien, Kanada und zwölf europäischen Ländern, hat eine gemeinsame Warnung vor den Aktivitäten der russischen APT-Gruppe Laundry Bear veröffentlicht. Die staatlich unterstützte Hackergruppe, die auch unter den Bezeichnungen Void Blizzard oder TA488 bekannt ist, nimmt gezielt Nutzer der Zimbra Collaboration Suite (ZCS) ins Visier. Laut den Sicherheitsbehörden nutzt die Gruppe eine kritische Schwachstelle aus, um weitreichenden Zugriff auf sensible E-Mail-Kommunikation zu erlangen.
Technischer Hintergrund der „Beehive“-Kampagne
Die Angreifer nutzen die Schwachstelle CVE-2025-66376 in der Zimbra-Software aus. Dabei handelt es sich um einen sogenannten Zero-Click-Exploit, der von Experten auch als „Beehive“ oder „Ulej“ bezeichnet wird. In einigen Fällen wurde die Methode auch als „Half-Click“-Exploit charakterisiert, da bereits das bloße Ansehen einer präparierten E-Mail ausreicht, um die Infektion auszulösen.
Der Exploit verwendet Base64-kodierte Payloads und XOR-Verschlüsselung, um Sicherheitsmechanismen zu umgehen. Einmal erfolgreich eingedrungen, exfiltriert die Gruppe laut Sicherheitsanalysen E-Mails aus einem Zeitraum von 90 Tagen sowie Verzeichnisse, Passwörter und 2FA-Codes. Zudem ermöglicht der Exploit eine dauerhafte Präsenz im System über das IMAP-Protokoll, wobei Anwendungspasswörter erstellt werden, um den Zugriff aufrechtzuerhalten. Die gestohlenen Daten werden anschließend über HTTPS oder DNS an eine Docker-basierte Infrastruktur namens „Flowerbed“ übertragen, wobei zur Verschleierung häufig der Dienst Mullvad VPN zum Einsatz kommt.
Geografische Ausbreitung und Zielsektoren
Die Kampagne von Laundry Bear ist bereits seit 2024 aktiv. Branchenberichten zufolge wurden die Angriffstechniken zunächst an ukrainischen Zielen getestet, bevor die Gruppe ab Mai 2025 ihre Aktivitäten auf NATO-Mitgliedstaaten und weitere internationale Ziele ausweitete. Betroffen sind Organisationen in den Bereichen Verteidigung, Regierung, Bildung, Energie, Strafverfolgung sowie Medien und Technologie-Unternehmen.
Sicherheitsberichte heben hervor, dass im vergangenen Jahr insbesondere US-amerikanische Nuklearwissenschaftler, Regierungsangestellte und Verteidigungsauftragnehmer im Fokus standen. Dabei habe ein besonderes Interesse an Forschungsprojekten zur Kernfusion sowie an allgemeiner Militärtechnologie und Geheimdienstinformationen bestanden. Analysen von Unit 42 (Palo Alto Networks) zeigen zudem Überschneidungen mit einer Kampagne namens CL-STA-1114 auf, die Finanzorganisationen innerhalb der NATO, in der Ukraine, der GUS und in Afrika attackierte.
Angesichts der zunehmenden Professionalität staatlich geförderter Hackergruppen stehen Unternehmen heute vor komplexen digitalen Bedrohungen. Welche rechtlichen Pflichten und konkreten Risiken Sie jetzt kennen müssen, erfahren Sie in diesem kostenlosen Report. Kostenloses E-Book: Cyberrisiken erkennen und abwehren
Entwicklung und Gegenmaßnahmen
Die Infrastruktur der Angreifer entwickelte sich im Laufe der Zeit weiter. Während zu Beginn der Kampagne häufig ProtonMail-Konten für die Kommunikation genutzt wurden, gingen die Hacker später dazu über, bereits kompromittierte Konten für ihre Zwecke zu missbrauchen. Branchenanalysten von Computer Weekly wiesen darauf hin, dass bei der Entwicklung des Codes für den Exploit möglicherweise künstliche Intelligenz eingesetzt wurde.
Die betroffene Schwachstelle wurde bereits am 6. November 2025 durch Sicherheits-Patches adressiert. Betroffen sind die Versionen Zimbra Collaboration 10.0 (vor Version 10.0.18) sowie 10.1 (vor Version 10.1.13). Obwohl die Aktivitäten der Gruppe im Februar 2026 nach ihrer Entdeckung durch Sicherheitsfirmen wie Seqrite kurzzeitig nachzulassen schienen, bleibt die Bedrohungslage bestehen.
Da Angriffe wie die „Beehive“-Kampagne oft über das bloße Ansehen von E-Mails starten, wird die Sensibilisierung von Teams für digitale Gefahren immer wichtiger. Das kostenlose Anti-Phishing-Paket bietet eine detaillierte Analyse aktueller Angriffsmethoden und zeigt effektive Schutzstrategien auf. Anti-Phishing-Paket für Unternehmen jetzt gratis anfordern
Die CISA und ihre internationalen Partner fordern Organisationen dringend dazu auf, ihre Zimbra-Installationen auf den neuesten Stand zu bringen, die Multi-Faktor-Authentifizierung (MFA) konsequent zu aktivieren und Systeme auf verdächtige Aktivitäten zu überwachen. Zu den bekannten Indikatoren für eine Kompromittierung gehören unter anderem Zugriffe über die Domain mailnalysis.com.
