Im Zentrum der Warnung steht die Schwachstelle CVE-2025-66376 in der Zimbra Collaboration Suite. Laut der behördlichen Mitteilung setzt Laundry Bear mindestens seit Juli 2025 einen neuartigen Exploit dagegen ein. Der Schadcode wird als JavaScript-Nutzlast in E-Mails versteckt, die von bereits kompromittierten E-Mail-Konten versendet werden. Wird eine solche Nachricht geöffnet, startet die Ausführung unmittelbar, ohne dass ein Klick des Empfängers nötig ist.
Nach Angaben der Behörden versuchten die Angreifer, aus kompromittierten Postfächern die E-Mails der vergangenen 90 Tage abzuziehen. Außerdem zielten sie auf Passwörter, Kontaktlisten, Zwei-Faktor-Authentifizierungs-Token und weitere Zugangscodes. Die gemeinsame Warnung stammt von Behörden aus den USA, Großbritannien, Europa, Australien und Neuseeland.
Palo Alto Networks Unit 42 beschrieb in einem eigenen Bericht vom Donnerstag weitere Zielbranchen. Demnach griffen die Angreifer Organisationen aus den Bereichen Verteidigung und Transport sowie Finanzorganisationen in NATO-Mitgliedstaaten, der Ukraine, Staaten der Gemeinschaft Unabhängiger Staaten und in Afrika an. Proofpoint erklärte in einer separaten Warnung, die Gruppe habe in den USA Ziele aus Regierung, Spitzenforschung und der verteidigungsnahen Industrie kompromittiert.
Laundry Bear wurde laut niederländischen Nachrichtendiensten erstmals im Mai 2025 identifiziert. Die Behörden machten die Gruppe für eine Reihe von Angriffen in den Niederlanden verantwortlich, darunter auch gegen die nationale Polizei. Microsoft zufolge ist Laundry Bear mindestens seit 2024 aktiv. Frühere Kampagnen der Gruppe nutzten nach dieser Darstellung eher einfache Methoden wie Passwort-Spraying und Phishing-Versuche, bei denen Empfänger noch auf einen Link klicken mussten.
Eine weitere Spur liefert Seqrite: Das Sicherheitsunternehmen beschrieb im März 2026 eine Zero-Click-Phishing-Kampagne gegen Zimbra-Webmail, bei der eine ukrainische Seefahrtsbehörde kompromittiert wurde. Seqrite ordnete die Aktivität mit mittlerer Sicherheit der russischen APT Fancy Bear zu. Niederländische Geheimdienste erklärten dazu, die Taktiken von Laundry Bear hätten Überschneidungen mit der Vorgehensweise von Fancy Bear, es handele sich aber um unterschiedliche Akteure.
Proofpoint sieht in der aktuellen Kampagne Parallelen zu Aktivitäten russischer und belarussischer Hacker in den vergangenen Jahren. Dabei seien Cross-Site-Scripting-Exploits genutzt worden, um Webmail-Server systematisch auszuräumen. Die beteiligten Behörden forderten Organisationen, die den Zimbra-Webmail-Dienst einsetzen, auf, ihre Software umgehend zu aktualisieren. Falls ein Patch nicht zeitnah eingespielt werden könne, sollten Beschäftigte stattdessen einen anderen Mail-Client verwenden.