Die russische Geheimdienst-nahe Hackergruppe APT28, auch als “Fancy Bear” oder “Strontium” bekannt, führt derzeit Angriffe gegen ukrainische Regierungsziele durch. Sicherheitsforscher von Seqrite Labs dokumentierten die Kampagne unter dem Namen “Operation GhostMail” und zeigten, wie die Angreifer die Zimbra-Schwachstelle CVE-2025-66376 ausnutzen.
Die Attacke erfolgt über raffinierte Phishing-E-Mails, die ohne verdächtige Anhänge, Links oder Makros auskommen. Stattdessen verbirgt sich der gesamte Angriffsablauf im HTML-Body einer einzigen E-Mail. Öffnet das Opfer die Nachricht in einer anfälligen Zimbra-Webmail-Session, wird ein verschleiertes JavaScript-Skript ausgeführt, das die CVE-2025-66376-Lücke ausnutzt.
Das Skript arbeitet im Verborgenen ab: Es stiehlt Zugangsdaten, Session-Tokens, Sicherungs-Codes von Zwei-Faktor-Authentifizierung sowie im Browser gespeicherte Passwörter. Besonders kritisch ist die Exfiltration des kompletten Mailbox-Inhalts der letzten 90 Tage. Die gestohlenen Daten werden über DNS und HTTPS abgeleitet.
Als konkretes Ziel ist die Ukrainische Staatliche Hydrologische Agentur dokumentiert — eine kritische Infrastruktur unter dem Ministerium für Infrastruktur. Dies unterstreicht die strategische Ausrichtung der Angriffe auf bedeutende staatliche Institutionen.
Zimbra ist nicht erstmals im Visier russischer Hackerbanden. Im Februar 2023 nutzte die Gruppe “Winter Vivern” eine ähnliche XSS-Schwachstelle zur Spionage gegen NATO-Organisationen, Diplomaten und Militärpersonal. Auch APT29, die dem russischen Geheimdienst SVR zugeordnet wird, führte 2024 Massenattacken auf Zimbra-Server durch.
Die Behörde CISA hat CVE-2025-66376 nun in ihren Katalog aktiv genutzter Schwachstellen aufgenommen und US-Bundesbehörden ein Ultimatum gesetzt: Patchen innerhalb von zwei Wochen. Dies unterstreicht die Kritikalität der Lücke.
Für deutsche Organisationen, die Zimbra einsetzen, empfiehlt sich sofortige Überprüfung des Patch-Status. Zimbra wird weltweit von Hunderten Millionen Nutzern, darunter Hunderte Regierungsbehörden und Tausende Unternehmen, verwendet. Die Kombination aus hoher Kritikalität, breiter Verbreitung und aktiver Ausbeutung macht diesen Fall zu einer der aktuellen Top-Prioritäten in der Cybersicherheit.