Badacze bezpieczeństwa z StrikeReady Labs wykryli zaawansowaną kampanię cyberszpiegowską, w której złośliwe załączniki kalendarza (ICS) posłużyły do wykorzystania nieznanej wcześniej luki zero-day w otwartoźródłowym pakiecie Zimbra Collaboration Suite.
Atak
Kampania — podszywająca się pod korespondencję z Biura Protokolarnego Libijskiej Marynarki Wojennej — wymierzona była we wcześniejszej części tego roku w brazylijskie wojsko.
Złośliwy plik ICS zawierał osadzony kod JavaScript wykorzystujący CVE-2025-27915, lukę typu stored cross-site scripting (XSS) w klasycznym kliencie webowym Zimbra.
Gdy ofiara otwierała wiadomość, skrypt uruchamiał się po cichu za pośrednictwem zdarzenia ontoggle w znaczniku <details>, dając atakującym dostęp do sesji i danych ofiary w Zimbra.
Co czyni ten atak wyjątkowym
To jeden z pierwszych udokumentowanych przypadków, w których atakujący wykorzystali Zimbra bezpośrednio za pomocą załączników e-mail, zamiast przejmować serwery lub stosować przynęty phishingowe.
StrikeReady zwróciło uwagę, że ta metoda pozwala przeciwnikom omijać tradycyjne zabezpieczenia poczty e-mail, co pokazuje, że luki XSS mogą być równie groźne jak zdalne wykonanie kodu (RCE) w rzeczywistych scenariuszach szpiegowskich.
Wielofunkcyjny ładunek
Złośliwy skrypt został zaprojektowany jako zestaw wielu modułów:
- Kradzież i monitorowanie poświadczeń – Przechwytuje nazwy użytkowników, hasła i tokeny sesji, a następnie natychmiast je wykrada.
- Eksfiltracja wiadomości e-mail – Wykorzystuje API SOAP Zimbra do kradzieży wiadomości co cztery godziny.
- Manipulacja filtrami – Przekierowuje wiadomości e-mail na kontrolowane przez atakujących konta ProtonMail.
- Kradzież danych uwierzytelniających – Wyodrębnia dane zaufanych urządzeń i hasła aplikacji, pomagając atakującym obejść MFA.
Złośliwe oprogramowanie stosowało też opóźnienia i limity wykonania, aby utrudnić wykrycie, oraz wylogowywało nieaktywnych użytkowników, by przechwycić poświadczenia przy ponownym logowaniu.
Reakcja Zimbra
Zimbra załatała problem w wersji 10.1.9 (czerwiec 2025 r.), poprawiając sanityzację HTML i wzmacniając mechanizmy kontroli bezpieczeństwa.
Szerszy kontekst
Choć StrikeReady unikało bezpośredniej atrybucji, zauważyło, że niewiele grup atakujących dysponuje wiedzą pozwalającą odkrywać i wykorzystywać luki zero-day w oprogramowaniu do współpracy.
Wśród nich UNC1151 — grupa szpiegowska powiązana z Rosją — należy do najaktywniejszych w tej dziedzinie.
Ten incydent pokazuje, że załączniki e-mail i narzędzia do współpracy pozostają pomijanymi, a mimo to skutecznymi wektorami ataku.
W Alcaeus Services pomagamy organizacjom wykrywać i ograniczać takie ryzyka dzięki monitorowaniu behawioralnemu, zarządzaniu poprawkami i analizie ekspozycji na luki zero-day, dbając o to, by nawet subtelne luki, takie jak XSS, nie prowadziły do poważnych włamań.
