La CISA, insieme a un’ampia coalizione internazionale di agenzie di cybersicurezza, ha pubblicato un’importante allerta (AA26-204A) riguardante una campagna di spionaggio informatico orchestrata da attori russi, noti nella comunità della sicurezza con il nome di ‘LAUNDRY BEAR’.
La minaccia
Dal luglio 2025, questo gruppo ha preso di mira organizzazioni governative e commerciali occidentali, incluse entità nel settore della difesa, dell’istruzione e delle infrastrutture critiche. L’obiettivo principale dell’operazione è l’acquisizione furtiva di dati e-mail e informazioni sensibili.
Metodologia di attacco
A differenza delle tradizionali campagne di phishing che richiedono l’interazione dell’utente (come cliccare su un link), LAUNDRY BEAR ha sfruttato una vulnerabilità zero-day (CVE-2025-66376) all’interno di Zimbra Collaboration Suite (ZCS). La vulnerabilità permette l’esecuzione di codice malevolo semplicemente visualizzando un’e-mail infetta nel client webmail. Il payload esegue in modo asincrono l’esfiltrazione di:
- Ultimi 90 giorni di corrispondenza e-mail;
- Rubriche aziendali (Global Address List);
- Credenziali e token di autenticazione a due fattori (2FA).
Evoluzione tecnica
Gli attori hanno dimostrato una crescente sofisticazione, utilizzando il framework personalizzato ‘Ulej’ (ovvero ‘alveare’) per gestire l’esfiltrazione dei dati verso server VPS compromessi. È stato inoltre rilevato un probabile utilizzo dell’intelligenza artificiale per facilitare lo sviluppo dei tool di attacco, segnalando un innalzamento della minaccia per le organizzazioni che non aggiornano regolarmente i propri sistemi.
Raccomandazioni per la sicurezza
Le agenzie di sicurezza, tra cui le italiane AISE e AISI, esortano tutte le organizzazioni che utilizzano Zimbra Collaboration Suite a:
- Aggiornare immediatamente: Assicurarsi che ZCS sia aggiornato all’ultima versione patchata per risolvere la CVE-2025-66376.
- Monitoraggio di rete: Implementare controlli sui flussi di traffico in uscita verso provider VPS sconosciuti e monitorare query DNS anomale.
- Gestione credenziali: Revocare tutti i codici applicativi (Application Passcodes) e le chiavi 2FA sospette. Si consiglia l’uso di servizi di autenticazione basati su passkey ove possibile.
- Analisi dei log: Ispezionare i log di sistema (
mailbox.log) alla ricerca di attività SOAP sospette, in particolare richieste di ricerca massiva nella rubrica (SearchGalRequest) o creazione di nuove password applicative.
La minaccia rimane alta e, sebbene l’applicazione delle patch possa mitigare il rischio attuale, è molto probabile che il gruppo continui a colpire i sistemi di posta elettronica con nuove tecniche. È fondamentale mantenere un monitoraggio costante e una strategia di gestione delle vulnerabilità proattiva.
