Im Zentrum der Kampagne steht die Schwachstelle CVE-2025-66376, eine Cross-Site-Scripting-Lücke in der Classic UI der Zimbra Collaboration Suite. Laut CISA ermöglicht sie die automatische Ausführung von JavaScript, das in speziell gestaltete HTML-E-Mails eingebettet ist. So können Angreifer Kontodaten stehlen, ohne dass Betroffene aktiv auf einen Link klicken oder eine gefälschte Website aufrufen müssen.
CISA zufolge nutzt Laundry Bear den Exploit, um automatisiert die E-Mails der vergangenen 90 Tage, die E-Mail-Adresse, das Passwort, die Global Address List (GAL) und Zwei-Faktor-Authentifizierungs-Token des Opfers zu sammeln und zu exfiltrieren. Zusätzlich erstellen die Angreifer einen neuen Zimbra-Anwendungscode und senden ihn zurück. Dieser ist für ältere Mail-Clients wie IMAP oder ActiveSync gedacht, die keine TOTP-Authentifizierungsabläufe unterstützen. Nach Darstellung der Behörde verschafft sich die Gruppe damit dauerhaften Zugriff auf das Postfach und umgeht Mehrfaktor-Authentifizierung.
Die gestohlenen Daten werden laut CISA sowohl über DNS als auch über HTTPS an einen von den Angreifern kontrollierten Server übertragen, auf dem das gruppeneigene Sammel-Framework „Flowerbed“ läuft. Kleinere Datenmengen werden demnach in DNS-A-Record-Abfragen kodiert und übertragen. Größere Nutzlasten, darunter Postfachdaten, laden die Angreifer als komprimierte Archive per HTTPS auf ihre Server hoch.
Neben der Zimbra-Schwachstelle setzt Laundry Bear nach Angaben von CISA auch auf Adversary-in-the-Middle-Phishing-Kits. Diese geben sich als legitime Zimbra-Anmeldeseiten aus und stehlen Zugangsdaten sowie Sitzungs-Cookies, um Zugriff auf E-Mail-Konten zu erhalten. Von CISA veröffentlichte Indikatoren für eine Kompromittierung zeigen, dass die Kampagne dafür Zimbra-Infrastruktur nachahmende Domains nutzte, darunter „mailnalysis.com“, „emailanalytics.com.ua“, „zimbrastat.com“, „zimbra-metadata.com“, „istc-cloud.com“ und „zmailanalytics.com“.
Die Behörde empfiehlt Organisationen mit Zimbra-Einsatz Gegenmaßnahmen und rät zudem, wo möglich, phishing-resistente Mehrfaktor-Authentifizierung einzuführen. Konkrete weitere Empfehlungen werden im Quelltext nicht ausgeführt.
Laundry Bear wurde erstmals im Mai 2025 von niederländischen Nachrichtendiensten Cyberespionage-Angriffen zugeschrieben. Dieselben Behörden machten die Gruppe öffentlich für eine Kompromittierung der niederländischen Nationalpolizei im Jahr 2024 verantwortlich, bei der personenbezogene Daten von Polizeibeschäftigten offengelegt wurden und eine zuvor unbekannte russische Spionagegruppe identifiziert werden konnte. Microsoft führt dieselbe Gruppe unter dem Namen Void Blizzard.
Seit mindestens 2024 konzentriert sich die Gruppe laut Microsoft auf nachrichtendienstliche Informationsbeschaffung gegen Organisationen, die mit russischen strategischen Interessen kollidieren, vor allem in NATO-Mitgliedstaaten und in der Ukraine. Microsoft dokumentierte zudem erfolgreiche Kompromittierungen von Organisationen, die die Ukraine unterstützen, darunter Einrichtungen aus den Bereichen Verteidigung, Transport und Luftfahrt.