Laundry Bear: alerta internacional expõe campanha russa que sequestra webmails Zimbra sem clique

Cinco agências ocidentais de inteligência publicaram nesta quinta-feira um alerta conjunto sobre uma campanha de espionagem russa que explora o Zimbra Collaboration Suite via CVE-2025-66376, uma falha zero-click corrigida em novembro de 2025 mas ainda amplamente não aplicada. O grupo Laundry Bear vem exfiltrando 90 dias de e-mails, senhas, contatos e tokens de 2FA de organizações governamentais e comerciais nos EUA, Reino Unido, Europa, Austrália e Nova Zelândia — sempre depois de treinar as técnicas em vítimas ucranianas.

O que aconteceu

Um comunicado internacional divulgado em 24 de julho de 2026 pela CISA, FBI, NSA, NCSC do Reino Unido, ACSC da Austrália, NCSC da Nova Zelândia e agências de inteligência da União Europeia alertou para uma campanha em curso do grupo APT Laundry Bear, alinhado ao Estado russo. Os invasores estão comprometendo caixas postais webmail baseadas em Zimbra por meio de e-mails de phishing zero-click, que executam código malicioso assim que a mensagem é aberta pelo destinatário.

A vulnerabilidade explorada é a CVE-2025-66376, uma falha na renderização do cliente Zimbra que permite embutir um payload JavaScript malicioso no corpo do e-mail. A correção está disponível desde novembro de 2025, mas o alerta indica que a campanha continua produzindo vítimas — sinal de que boa parte dos servidores Zimbra em produção segue em versões vulneráveis. Segundo o aviso, os ataques têm foco em espionagem, sem qualquer sinal de extorsão financeira.

O padrão de vitimização segue uma tendência preocupante já observada em campanhas russas anteriores: primeiro, um “extenso” ataque a entidades ucranianas serve como banco de testes; depois, as técnicas amadurecidas são reaproveitadas contra alvos da OTAN, governos ocidentais e empresas estratégicas. A Ucrânia continua funcionando, na prática, como laboratório operacional das APTs russas.

Detalhes da vulnerabilidade e do ataque

O termo zero-click descreve com precisão o motivo do impacto: nenhuma ação do usuário é necessária além de abrir o e-mail. Ao renderizar o conteúdo malicioso, o cliente Zimbra executa o JavaScript embutido no contexto da sessão autenticada da vítima, dando ao atacante acesso aos mesmos recursos que o próprio usuário teria — inclusive à API interna do webmail.

O aviso conjunto detalha que o payload procura por artefatos altamente sensíveis: os últimos 90 dias de e-mails da caixa comprometida, senhas armazenadas, listas de contatos, tokens de autenticação de dois fatores e outros códigos de acesso. Esses dados são exfiltrados para infraestrutura controlada pelo Laundry Bear e, em vários casos observados, os e-mails já comprometidos são usados como plataforma para novos disparos, o que dá à campanha uma dinâmica de propagação lateral entre parceiros e fornecedores da vítima inicial.

“A natureza discreta e persistente desta atividade, somada à ausência de qualquer extorsão financeira conhecida, indica quase com certeza o envolvimento deste grupo em atividades de espionagem”, afirma o comunicado conjunto assinado pelas agências dos Cinco Olhos e parceiros europeus.

Em março de 2026, pesquisadores da Seqrite haviam descrito uma campanha zero-click semelhante contra uma agência marítima ucraniana, atribuída com confiança média ao Fancy Bear. A inteligência holandesa avalia que as táticas do Laundry Bear “se sobrepõem” ao modus operandi do Fancy Bear, mas trata-se de atores distintos — possivelmente compartilhando ferramentas ou infraestrutura dentro do ecossistema de serviços russos. A Proofpoint destaca que o padrão dialoga com outras campanhas recentes de agentes russos e bielorrussos abusando de falhas de cross-site scripting em plataformas de webmail para ganho de acesso inicial silencioso.

Riscos e organizações afetadas

Zimbra é uma escolha popular em setores onde o Microsoft 365 e o Google Workspace ainda não penetraram completamente. Isso inclui perfis de organização particularmente presentes no cenário brasileiro:

Órgãos públicos municipais, estaduais e universidades federais que mantêm servidores próprios.
Provedores de internet regionais que oferecem webmail aos clientes.
Empresas médias em setores regulados (energia, saneamento, saúde) que priorizam soberania de dados.
ONGs, sindicatos e associações profissionais com orçamento limitado para SaaS corporativo.
Contratados de defesa e fornecedores de tecnologia que trabalham com governos aliados dos EUA e Ucrânia.

Em um comprometimento típico da campanha, os invasores conseguem visibilidade sobre relacionamentos institucionais, negociações comerciais em andamento, contratos, informações de fornecedores críticos e — talvez o mais crítico — tokens de autenticação que permitem manter acesso mesmo depois que a vítima troca a senha.

Análise

A janela entre a publicação do patch (novembro de 2025) e o alerta internacional (julho de 2026) — cerca de oito meses — resume o problema estrutural que a comunidade de segurança convive há anos: correções existem, mas o patching de servidores de e-mail on-premises segue mais lento do que o ciclo de exploração das APTs. O caso Zimbra é praticamente um espelho das campanhas contra Exchange Server observadas entre 2021 e 2023 (ProxyShell, ProxyLogon), quando dezenas de milhares de servidores permaneceram vulneráveis meses depois da correção.

Vale notar também o refinamento tático. Enquanto o Fancy Bear ficou historicamente associado a operações mais barulhentas, o Laundry Bear opera abaixo do radar, sem ransomware, sem defacement e sem vazamento público. É um perfil de coleta de longo prazo, útil para inteligência estratégica antes de janelas de decisão política, como sanções, contratos de defesa e movimentos diplomáticos. Para o Brasil, que ainda mantém relações comerciais e diplomáticas com múltiplos blocos, a campanha reforça a necessidade de tratar servidores de e-mail expostos à internet como ativos de altíssima criticidade — mesmo quando as informações trocadas parecem, à primeira vista, rotineiras.

Recomendações práticas

Confirmar imediatamente a versão do Zimbra Collaboration Suite em produção e aplicar a correção da CVE-2025-66376, se ainda não foi feita.
Realizar caça a comprometimento em servidores já vulneráveis por qualquer período: analisar logs de acesso ao webmail, exportações de mailbox e alterações em regras de encaminhamento.
Revogar e reemitir todos os tokens de 2FA e senhas de aplicativos gerados no período em que o servidor esteve vulnerável.
Bloquear renderização de JavaScript no cliente webmail Zimbra sempre que a política operacional permitir.
Habilitar 2FA baseada em hardware (FIDO2/WebAuthn) para todas as contas administrativas.
Consumir e correlacionar os IOCs publicados pelas agências no SIEM/EDR, incluindo indicadores de infraestrutura de Laundry Bear.
Isolar o Zimbra Collaboration Suite atrás de um proxy reverso com WAF e restringir acesso administrativo por VPN ou zero-trust.
Avaliar migração para clientes webmail modernos com Content Security Policy estrita para reduzir a superfície de ataque de XSS em e-mail.

Fonte: The Record