Cinco agências ocidentais de inteligência publicaram nesta quinta-feira um alerta conjunto sobre uma campanha de espionagem russa que explora o Zimbra Collaboration Suite via CVE-2025-66376, uma falha zero-click corrigida em novembro de 2025 mas ainda amplamente não aplicada. O grupo Laundry Bear vem exfiltrando 90 dias de e-mails, senhas, contatos e tokens de 2FA de organizações governamentais e comerciais nos EUA, Reino Unido, Europa, Austrália e Nova Zelândia — sempre depois de treinar as técnicas em vítimas ucranianas.
Um comunicado internacional divulgado em 24 de julho de 2026 pela CISA, FBI, NSA, NCSC do Reino Unido, ACSC da Austrália, NCSC da Nova Zelândia e agências de inteligência da União Europeia alertou para uma campanha em curso do grupo APT Laundry Bear, alinhado ao Estado russo. Os invasores estão comprometendo caixas postais webmail baseadas em Zimbra por meio de e-mails de phishing zero-click, que executam código malicioso assim que a mensagem é aberta pelo destinatário.
A vulnerabilidade explorada é a CVE-2025-66376, uma falha na renderização do cliente Zimbra que permite embutir um payload JavaScript malicioso no corpo do e-mail. A correção está disponível desde novembro de 2025, mas o alerta indica que a campanha continua produzindo vítimas — sinal de que boa parte dos servidores Zimbra em produção segue em versões vulneráveis. Segundo o aviso, os ataques têm foco em espionagem, sem qualquer sinal de extorsão financeira.
O padrão de vitimização segue uma tendência preocupante já observada em campanhas russas anteriores: primeiro, um “extenso” ataque a entidades ucranianas serve como banco de testes; depois, as técnicas amadurecidas são reaproveitadas contra alvos da OTAN, governos ocidentais e empresas estratégicas. A Ucrânia continua funcionando, na prática, como laboratório operacional das APTs russas.
O termo zero-click descreve com precisão o motivo do impacto: nenhuma ação do usuário é necessária além de abrir o e-mail. Ao renderizar o conteúdo malicioso, o cliente Zimbra executa o JavaScript embutido no contexto da sessão autenticada da vítima, dando ao atacante acesso aos mesmos recursos que o próprio usuário teria — inclusive à API interna do webmail.
O aviso conjunto detalha que o payload procura por artefatos altamente sensíveis: os últimos 90 dias de e-mails da caixa comprometida, senhas armazenadas, listas de contatos, tokens de autenticação de dois fatores e outros códigos de acesso. Esses dados são exfiltrados para infraestrutura controlada pelo Laundry Bear e, em vários casos observados, os e-mails já comprometidos são usados como plataforma para novos disparos, o que dá à campanha uma dinâmica de propagação lateral entre parceiros e fornecedores da vítima inicial.
“A natureza discreta e persistente desta atividade, somada à ausência de qualquer extorsão financeira conhecida, indica quase com certeza o envolvimento deste grupo em atividades de espionagem”, afirma o comunicado conjunto assinado pelas agências dos Cinco Olhos e parceiros europeus.
Em março de 2026, pesquisadores da Seqrite haviam descrito uma campanha zero-click semelhante contra uma agência marítima ucraniana, atribuída com confiança média ao Fancy Bear. A inteligência holandesa avalia que as táticas do Laundry Bear “se sobrepõem” ao modus operandi do Fancy Bear, mas trata-se de atores distintos — possivelmente compartilhando ferramentas ou infraestrutura dentro do ecossistema de serviços russos. A Proofpoint destaca que o padrão dialoga com outras campanhas recentes de agentes russos e bielorrussos abusando de falhas de cross-site scripting em plataformas de webmail para ganho de acesso inicial silencioso.
Zimbra é uma escolha popular em setores onde o Microsoft 365 e o Google Workspace ainda não penetraram completamente. Isso inclui perfis de organização particularmente presentes no cenário brasileiro:
Em um comprometimento típico da campanha, os invasores conseguem visibilidade sobre relacionamentos institucionais, negociações comerciais em andamento, contratos, informações de fornecedores críticos e — talvez o mais crítico — tokens de autenticação que permitem manter acesso mesmo depois que a vítima troca a senha.
A janela entre a publicação do patch (novembro de 2025) e o alerta internacional (julho de 2026) — cerca de oito meses — resume o problema estrutural que a comunidade de segurança convive há anos: correções existem, mas o patching de servidores de e-mail on-premises segue mais lento do que o ciclo de exploração das APTs. O caso Zimbra é praticamente um espelho das campanhas contra Exchange Server observadas entre 2021 e 2023 (ProxyShell, ProxyLogon), quando dezenas de milhares de servidores permaneceram vulneráveis meses depois da correção.
Vale notar também o refinamento tático. Enquanto o Fancy Bear ficou historicamente associado a operações mais barulhentas, o Laundry Bear opera abaixo do radar, sem ransomware, sem defacement e sem vazamento público. É um perfil de coleta de longo prazo, útil para inteligência estratégica antes de janelas de decisão política, como sanções, contratos de defesa e movimentos diplomáticos. Para o Brasil, que ainda mantém relações comerciais e diplomáticas com múltiplos blocos, a campanha reforça a necessidade de tratar servidores de e-mail expostos à internet como ativos de altíssima criticidade — mesmo quando as informações trocadas parecem, à primeira vista, rotineiras.
Fonte: The Record
Janelia, Cambridge, o MRC LMB e o Google Research publicaram na Cell o sistema nervoso…
A Alibaba liberou sob licença Apache 2.0 um modelo de visão e linguagem voltado a…
A Unit 42 analisou duas campanhas ativas na América Latina em que os operadores usaram…
A falha CVE-2026-85046, uma confusão de tipos no motor V8, já era usada em ataques…
Duas campanhas pré-registradas de pesquisadores britânicos pararam antes da pergunta central: o instrumento de medição…
O primeiro modelo multimodal da família V4 saiu do Hugging Face com 304,6 bilhões de…