Russische Kampagne gegen Zimbra mit Zero-Click-Exploit und Diebstahl von E-Mails und 2FA-Codes

Mehrere mit Russland verbundene Gruppen haben monatelang eine damals unbekannte Schwachstelle in Zimbra ausgenutzt, um Regierungs- und strategische Organisationen im Westen anzugreifen. Der Angriffsvektor war besonders gefährlich, weil es ausreichte, die E-Mail im Web-Client zu öffnen oder auch nur anzuzeigen, um den Exploit auszulösen, ohne dass der Nutzer ausdrücklich klicken musste. Einmal drin, zielten die Angreifer auf die Postfächer der letzten 90 Tage, das gesamte Adressbuch, die im Browser gespeicherten Passwörter und die für die Wiederherstellung der 2FA verwendeten Codes. Die Kampagnen betrafen Ziele in der Ukraine, den Vereinigten Staaten und andere hochrangige Einrichtungen, mit starkem Interesse an Behörden, Verteidigung und Forschung. Proofpoint und andere Sicherheitsorganisationen haben hervorgehoben, dass diese Akteure über eine Exploit-Kette für Webmail-Server verfügen, ein Zeichen für fortgeschrittene und anhaltende operative Fähigkeiten. Der Fall zeigt, wie kritisch das mit E-Mail verbundene Risiko weiterhin ist, vor allem wenn es sich mit dem Zugriff auf Anmeldedaten und Authentifizierungstoken verbindet. Die Meldung stärkt auch die Erkenntnis, dass MFA allein nicht ausreicht, wenn ein Angreifer Sitzungen oder Wiederherstellungscodes abfangen kann.

Quellen

• Russische Hacker nutzen Zimbra Zero-Day gegen Ziele in den USA und der Ukraine aus — Dark Reading
• Russische Spionagegruppe nutzte Zimbra Zero-Day aus, um E-Mails und 2FA-Codes zu stehlen — The Hacker News
• Russische Hacker nutzen neuen „Zero-Click“-Angriff gegen westliche Organisationen aus — www.infosecurity-magazine.com
• ta458 roundpress exploits — Proofpoint Threat Insight
• TA488 zielt mit Half-Click-Exploits auf Zimbra-Mailserver ab — Proofpoint Threat Insight