Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Russian Espionage Group Exploited Zimbra Zero-Day to Steal Mail and 2FA Codes

1 minute de lecture

Mis à jour :

Espionnage russe via une faille critique dans Zimbra

Un groupe de cyberespionnage soutenu par l’État russe a exploité pendant plusieurs mois une vulnérabilité « zero-click » dans le client webmail Zimbra pour infiltrer des organisations gouvernementales, militaires et commerciales occidentales. En exploitant simplement la lecture d’un email piégé, les attaquants pouvaient dérober les données de la boîte mail, les mots de passe enregistrés et les codes d’authentification à deux facteurs (2FA).

Points clés

  • Mode opératoire : Utilisation d’emails contenant une charge utile dissimulée via une technique de « tag-splitting » (fragmentation de code HTML) pour contourner le filtrage de Zimbra.
  • Impact : Une fois le mail ouvert, le script (nommé ZimReaper) extrait les jetons CSRF, les mots de passe, les codes 2FA et télécharge l’historique des emails des 90 derniers jours.
  • Persistance : Les attaquants créent des mots de passe spécifiques aux applications (ZimbraWeb) qui permettent un accès IMAP/POP3 persistant, contournant les réinitialisations de mot de passe classiques.
  • Cibles : Secteurs de la défense, gouvernementaux, scientifiques et financiers, particulièrement au sein des pays membres de l’OTAN et en Ukraine.

Vulnérabilité

  • CVE-2025-66376 : Vulnérabilité de type Stored Cross-Site Scripting (XSS) dans l’interface « Classic UI » de Zimbra.
  • Sévérité : Score CVSS de 6.1 à 7.2 selon les organismes.

Recommandations

  • Mise à jour immédiate : Appliquer les correctifs (Zimbra 10.0.18+ ou 10.1.13+). La version 10.0 étant en fin de vie, une migration vers une version 10.1 supportée est impérative.
  • Audit post-compromission :
    • Vérifier les logs (/opt/zimbra/log/audit.log) à la recherche de la fonction CreateAppSpecificPassword et supprimer tout mot de passe nommé ZimbraWeb.
    • Rechercher les comptes où le paramètre zimbraPrefImapEnabled a été activé indûment.
    • Réinitialiser les mots de passe, invalider les sessions actives et renouveler les codes 2FA pour les comptes ayant consulté des messages suspects.
  • Surveillance réseau : Filtrer les requêtes DNS pour détecter les exfiltrations vers les domaines C2 identifiés et surveiller les appels SOAP suspects de type GetScratchCodesRequest.

Source

Vous pourriez aimer