AtalaiaSec Pedir diagnóstico
← Blog

Vulnerabilidade Zimbra deixa PME exposta a espionagem

AtalaiaSec ·

A vulnerabilidade Zimbra CVE-2025-66376 permite que atores patrocinados pelo Estado russo roubem e-mails, credenciais e tokens de autenticação sem que a vítima clique em qualquer link — basta abrir a mensagem no webmail. Em 23 de julho de 2026, a CISA, a NSA, o FBI e agências de segurança de mais de uma dezena de países publicaram o advisory conjunto AA26-204A detalhando a campanha do grupo LAUNDRY BEAR, ativa desde pelo menos julho de 2025. PMEs lusófonas que mantêm servidores de e-mail Zimbra autogerenciados estão particularmente expostas, porque frequentemente rodam versões desatualizadas sem equipe dedicada à correção.

Como a falha zero-click funciona

O ataque explora uma vulnerabilidade de cross-site scripting (CWE-79) no webmail do Zimbra. Diferente do phishing tradicional, que depende de engenharia social para levar o usuário a clicar num link ou abrir um anexo, a CVE-2025-66376 exige apenas que a vítima visualize um e-mail malicioso dentro de uma versão vulnerável da interface web. Assim que a mensagem é renderizada no navegador, o payload executa automaticamente e inicia a exfiltração de dados para servidores controlados pelos atacantes.

Isso significa que o treinamento de conscientização — fundamental contra phishing convencional — não bloqueia este ataque específico. Não há link para identificar, anexo para inspecionar ou remetente óbvio para suspeitar. A única defesa técnica eficaz é manter o ZCS atualizado.

A ferramenta usada na campanha chama-se Ulej (palavra russa para "colmeia"), desenvolvida sob medida pelo grupo para coletar, comprimir e enviar dados comprometidos para uma infraestrutura chamada Flowerbed. A vulnerabilidade foi corrigida em novembro de 2025, mas sistemas sem a atualização permanecem exploráveis.

O que o atacante rouba

O exploit tenta exfiltrar um conjunto específico de dados sensíveis de cada conta comprometida, conforme detalhado no advisory da CISA:

Tipo de dado comprometidoEscopo do rouboImpacto para a PME
Comunicação por e-mailÚltimos 90 diasVazamento de propostas, contratos e dados de clientes
Lista de endereços globalCompletaNovos alvos para ataques em cadeia dentro e fora da empresa
Senha da contaAtivaAcesso a sistemas integrados via e-mail
Tokens de autenticação 2FAAtivosBypass temporário do segundo fator
Application Passcode criadaPersistenteAcesso contínuo mesmo após troca de senha

A Application Passcode é particularmente grave: uma vez criada pelo atacante, permite acesso programático à caixa de correio que persiste mesmo após a redefinição de senha. Revogar sessões e trocar credenciais pode não ser suficiente se essa passcode não for identificada e removida manualmente.

Detecção com SOC open-source

O advisory recomenda monitorar picos de tráfego de saída para servidores VPS recém-registrados, consultas DNS anormais com subdomínios aleatórios e comandos específicos nos logs do ZCS — padrões que uma plataforma como o Wazuh consegue correlacionar com regras customizadas. A busca no localStorage dos navegadores dos usuários de webmail também pode revelar Application Passcodes criadas pelo atacante.

Os indicadores de comprometimento publicados pela CISA no formato STIX podem ser importados diretamente numa stack open-source de SOC. PMEs que já operam com um plano de resposta a incidentes documentado têm vantagem: regras de detecção podem ser ativadas imediatamente e os alertas triados no fluxo existente. Ferramentas como o Cortex aceleram o enriquecimento de IPs, domínios e hashes identificados durante a investigação, cruzando-os contra dezenas de fontes de inteligência simultaneamente.

Plano de resposta para PMEs

Se sua empresa usa Zimbra Collaboration Suite, execute esta sequência priorizada:

Antes de iniciar, registre a versão instalada, o horário da última atualização e os responsáveis por cada etapa. Preserve cópias dos logs de acesso, auditoria, proxy, DNS e autenticação antes de qualquer limpeza. Essa linha de base permite comparar o comportamento anterior e posterior à correção, reduz o risco de apagar sinais úteis e dá ao responsável técnico uma trilha clara das decisões tomadas durante a resposta.

Trate a atividade como um incidente de credenciais, e não apenas como uma atualização de software. Separe as contas administrativas das contas comuns, revise integrações que usam o e-mail como mecanismo de recuperação e avise os usuários sobre possíveis sessões encerradas. Se houver indício de exfiltração, documente contas, períodos e dados potencialmente afetados para que a direção avalie comunicação a clientes, fornecedores e autoridades conforme as obrigações aplicáveis.

Depois da contenção, atribua um responsável pela vigilância diária dos alertas e outro pela validação das correções. Faça uma reunião curta de encerramento para registrar o que funcionou, quais controles falharam e que tarefa terá prazo definido. O resultado deve alimentar o inventário de ativos, o procedimento de atualização e os exercícios futuros de resposta, evitando que a mesma exposição reapareça sem dono.

  1. Atualizar o ZCS imediatamente para a versão que inclui a correção de CVE-2025-66376.
  2. Auditar os logs do ZCS buscando os comandos e padrões listados nos IOCs do advisory AA26-204A.
  3. Inspecionar o localStorage dos navegadores de todos os usuários de webmail em busca de Application Passcodes não autorizadas.
  4. Revogar sessões ativas e forçar redefinição de senhas de contas que usam a interface web.
  5. Remover Application Passcodes suspeitas manualmente, pois apenas mudar a senha não as revoga.
  6. Monitorar tráfego de saída e DNS por pelo menos 30 dias após a correção para detectar exfiltração residual.

Empresas que não conseguem aplicar a correção imediatamente devem migrar usuários para clientes de e-mail alternativos que não dependam da interface web vulnerável, como aplicativos de desktop com IMAP ou SMTP — recomendação explícita do próprio advisory.

Fontes