Die gemeinsame Warnung vom Donnerstag beschreibt Laundry Bear als neue russische APT, die laut dem niederländischen Allgemeinen Nachrichten- und Sicherheitsdienst AIVD im Mai erstmals identifiziert wurde. Die Gruppe gilt demnach als staatlich gesteuert und als nahestehend zu bekannteren russischen Gruppen. Bis zum vergangenen Jahr setzte Laundry Bear den Angaben zufolge eher einfache Methoden wie Password Spraying und herkömmliche Phishing-Angriffe ein, bevor die Akteure begannen, einen „neuartigen Exploit“ für CVE-2025-66376 zu verwenden.

Die Schwachstelle steckt in der Zimbra Collaboration Suite. Zimbra schloss CVE-2025-66376 im November 2025 mit Version 10.1.13, legte die Lücke aber erst Wochen später offen. In den ursprünglichen Versionshinweisen zu 10.1.13 war lediglich von einer gespeicherten XSS-Schwachstelle in der Classic UI die Rede, bei der Angreifer CSS-@import-Direktiven in E-Mail-HTML missbrauchen konnten; eine CVE-Nummer wurde dort noch nicht genannt. NIST und Mitre veröffentlichten Einträge zu der Lücke erst Anfang Januar. Mitre vergab später einen CVSS-Wert von 7,2.

Nach Angaben von Proofpoint, das an den staatlichen Untersuchungen zu Laundry Bear beteiligt war, ermöglicht die Schwachstelle speziell präparierte Phishing-Mails, bei denen schon das Öffnen oder die Vorschau der Nachricht ausreicht. Wird die E-Mail in Zimbra Webmail angezeigt, verarbeitet ein verwundbarer Zimbra-Webmail-Client den HTML-Inhalt fehlerhaft und führt beliebigen JavaScript-Code aus, unabhängig vom Browser des Nutzers. Proofpoint zufolge sammelt der Exploit anschließend die Nachrichten des Opfers aus den vergangenen 90 Tagen und leitet die Daten an einen Command-and-Control-Server weiter.

Seqrite hatte in einem Blogbeitrag vom 17. März berichtet, dass russische Bedrohungsakteure CVE-2025-66376 bei der Kompromittierung einer ukrainischen Regierungsbehörde ausgenutzt hätten. Das Unternehmen ordnete die von ihm „Operation GhostMail“ genannte Aktivität damals APT28, auch bekannt als Fancy Bear, zu. Einen Tag später nahm die US-Behörde CISA die hochriskante Schwachstelle in ihren Katalog der Known Exploited Vulnerabilities auf.

Die gemeinsame Warnung der 15 Länder zeichnet nun ein breiteres Bild. Demnach reicht die Ausnutzung mindestens bis Juli 2025 zurück und war deutlich umfangreicher als zunächst bekannt. Proofpoint verfolgt Laundry Bear unter der Bezeichnung TA488 und nennt als Ziele nicht nur ukrainische Regierungsstellen, sondern auch US-Regierungsbehörden, Verteidigungsunternehmen und wissenschaftliche Organisationen. Die Forscher gehen davon aus, dass die Gruppe den Exploit „mindestens fünf Monate im Jahr 2025“ eingesetzt hat und ihre Aktivitäten nach der Entdeckung durch Seqrite im Februar offenbar einstellte.

Ganz beendet ist die Gefahr damit jedoch nicht. Greg Lesnewich, leitender Ingenieur für Bedrohungsforschung bei Proofpoint, sagte Dark Reading, das Unternehmen beobachte „andere, nicht gruppierte Aktivitätsmuster“, die die Schwachstelle auf ungepatchten Webmail-Servern ausnutzen. Proofpoint hält es zudem für wahrscheinlich, dass der Exploit Laundry Bear von russischen Nachrichtendiensten zur Verfügung gestellt wurde und nicht intern entwickelt wurde.

Außerdem warnen die Forscher, dass die APT-Gruppe möglicherweise große Sprachmodelle einsetzen könnte, um eine Umgehung für Zimbras Patch zu entwickeln und Zimbra-Server weiter anzugreifen. Lesnewich betonte zugleich, Proofpoint habe keine technischen Belege dafür gesehen, dass der Exploit durch KI erzeugt wurde; es sei aber plausibel, weil große Sprachmodelle vermutlich gut darin wären, solche XSS-Fehler in Webmail-Software zu identifizieren.

Die beteiligten Behörden riefen ZCS-Kunden dazu auf, ihre Software umgehend auf eine bereinigte Version zu aktualisieren oder, falls das nicht möglich ist, auf alternative Webmail-Clients auszuweichen. Administratoren sollten alle mit dem Internet verbundenen ZCS-Instanzen oder E-Mail-Systeme engmaschig auf Anzeichen einer Kompromittierung überwachen.