Im Zentrum der Kampagne steht CVE-2025-66376, eine gespeicherte Cross-Site-Scripting-Schwachstelle in Zimbras Classic UI. Laut der gemeinsamen Warnung von NSA, CISA und Partnerbehörden missbraucht eine präparierte HTML-Mail die Verarbeitung von CSS-@import-Anweisungen, um JavaScript in einer bereits angemeldeten Webmail-Sitzung auszuführen. Dadurch übernimmt der Schadcode die Rechte des angemeldeten Nutzers auf das Postfach.
Bei der Bewertung der Benutzerinteraktion widersprechen sich die Datenquellen: NVD vergibt 6,1 Punkte und wertet das Anzeigen der Nachricht als Benutzerinteraktion, MITRE vergibt 7,2 Punkte und verneint das. Unit 42 bezeichnet die Schwachstelle als Zero-Click. In der Sache beschreiben alle dieselbe Wirkung: Die Nachricht wird beim Rendern aktiv, ohne dass der Empfänger weiter klicken muss.
Betroffen sind Zimbra Collaboration 10.0 vor Version 10.0.18 sowie 10.1 vor 10.1.13. Zimbra schloss die Lücke am 6. November 2025. CISA nahm sie am 18. März 2026 in den Known Exploited Vulnerabilities Catalog auf. Proofpoint, das die Gruppe als TA488 verfolgt, erklärte, die Angreifer hätten die Schwachstelle 2025 mindestens fünf Monate lang als unbekannte Lücke ausgenutzt, bevor ein Fix verfügbar war.
Die präparierten Nachrichten kamen Proofpoint zufolge von durch Angreifer kontrollierten Proton Mail-Konten sowie von zuvor kompromittierten Adressen und nutzten allgemeine Köder. Unit 42, das die Aktivität als CL-STA-1114 verfolgt, beschreibt viele Mails als angebliche Zusammenfassung aktueller Nachrichten. Der Exploit steckt jeweils im HTML-Teil der Nachricht.
Technisch verbirgt der Angriff ein svg-onload-Tag in einem display:none-Div und zerlegt dieses mit gefälschten @import-Direktiven und HTML-Kommentaren. Proofpoint nennt die Methode „Tag-Splitting“. Zimbras Sanitizer erkennt die Bruchstücke nicht als ausführbares Markup, entfernt die @import-Sequenzen, und die verbleibenden Zeichen setzen sich zu „<svg onload=eval(atob(…))>“ zusammen, das der Browser ausführt.
Proofpoint verfolgt die JavaScript-Nutzlast unter dem Namen ZimReaper. Sie stiehlt den CSRF-Token und das vom Browser automatisch ausgefüllte Passwort, liest über Zimbras eigene APIs 2FA-Scratch-Codes sowie Versionsdetails aus und exfiltriert diese Daten per DNS-Anfragen an die Infrastruktur der Angreifer. Anschließend fragt sie die Global Address List per Brute Force über alle zweistelligen Zeichenkombinationen ab und überträgt 90 Tage E-Mail-Inhalte des Opfers als TGZ-Archiv an den C2-Server.
Unit 42 zählte mindestens neun C2-IP-Adressen und neun Domains; jeder Server war im Schnitt 35,4 Tage online. Betroffene Organisationen oder Opferzahlen nannte das Team nicht. Die von Unit 42 genannten Zielsektoren und Regionen umfassen Regierungs-, Verteidigungs-, Transport- und Finanzorganisationen in NATO-Staaten, der Ukraine, der Gemeinschaft Unabhängiger Staaten und Afrika. Proofpoint ergänzt US-Organisationen, darunter Regierungsstellen, wissenschaftliche Einrichtungen und Teile der Verteidigungsindustrie einschließlich Nuklearanlagen.
Die Nutzlast erzeugt zudem über „CreateAppSpecificPasswordRequest“ ein anwendungsspezifisches Passwort namens „ZimbraWeb“, das IMAP-, POP3- oder SMTP-Zugriff ohne Zwei-Faktor-Authentifizierung ermöglichen kann. Proofpoint berichtete, TA488 habe anschließend weitere Exploit-Mails von kompromittierten Mailservern aus versandt, konnte aber nicht klären, ob dafür diese App-Passwörter oder andere gestohlene Zugangsdaten genutzt wurden. In dem von Seqrite untersuchten Januar-Fall bei einer ukrainischen staatlichen Hydrologiebehörde setzte die Nutzlast außerdem „zimbraPrefImapEnabled“ auf TRUE. Die Forscher betonten: „Anwendungsspezifische Passwörter überstehen Passwortzurücksetzungen.“
Zur Zuschreibung nennt die Behördenwarnung LAUNDRY BEAR, Void Blizzard, CL-STA-1114 und TA488 als in der Fachcommunity verwendete Bezeichnungen, weist aber darauf hin, dass die Zuordnung nicht zwangsläufig eins zu eins ist. Proofpoint erklärte, TA488 anhand der eigenen Telemetrie nicht mit Void Blizzard verknüpfen zu können; US-Regierungspartner hätten die Verbindung bestätigt. Seqrite schrieb seinen Januar-Fall mit mittlerer Sicherheit APT28 zu, während der niederländische Nachrichtendienst LAUNDRY BEAR und APT28 als getrennte Akteure behandelt.