Een Russische door de staat gesteunde spionagegroep heeft maandenlang westerse mailboxen gelezen via een toen onbekende kwetsbaarheid in de webmailclient Zimbra. De aanval richtte zich op de laatste 90 dagen aan e-mails, de volledige e-maildirectory van de organisatie, in de browser opgeslagen wachtwoorden en codes voor tweefactorauthenticatie (2FA) herstel. Het openen van het bericht was voldoende om de aanval te activeren.

De NSA, CISA en partnerinstanties publiceerden donderdag een gezamenlijk advies over deze campagne, ondersteund door onderzoek van Palo Alto Networks' Unit 42 en Proofpoint. De techniek wordt omschreven als een "view-based exploit" die alleen vereist dat een gebruiker een kwaadaardige e-mail bekijkt in een kwetsbare client. De aanvallers richten zich sinds minstens juli 2025 op westerse overheids- en commerciële organisaties via Zimbra.

De kwetsbaarheid, CVE-2025-66376, betreft een stored cross-site scripting (XSS) in de Classic UI van Zimbra. Een speciaal vervaardigde HTML-mail misbruikt CSS @import om JavaScript uit te voeren binnen een geauthenticeerde webmailsessie, waardoor de payload toegang krijgt tot de mailbox met de rechten van de gebruiker. De National Vulnerability Database geeft een CVSS-score van 6.1 en beschouwt het bekijken van het bericht als gebruikersinteractie, terwijl MITRE een score van 7.2 geeft en dit niet als interactie ziet. Unit 42 noemt het een zero-click exploit, waarbij het bericht automatisch wordt uitgevoerd bij het renderen zonder verdere handelingen.

De kwetsbaarheid trof Zimbra Collaboration versies 10.0 tot 10.0.18 en 10.1 tot 10.1.13. Zimbra bracht op 6 november 2025 een patch uit en CISA voegde de kwetsbaarheid op 18 maart 2026 toe aan het Known Exploited Vulnerabilities-catalogus. Proofpoint, dat de groep als TA488 volgt, meldde dat de bug minstens vijf maanden in 2025 werd misbruikt voordat de patch beschikbaar was.

De exploit zit verborgen in de HTML-body van de e-mail en gebruikt een svg onload-tag binnen een display:none div, die wordt gefragmenteerd met nep @import-directieven en HTML-commentaar, een techniek die Proofpoint "tag-splitting" noemt. Zimbra's sanitizer herkent deze fragmenten niet als uitvoerbare code, waardoor de browser uiteindelijk een <svg> uitvoert. De JavaScript payload, door Proofpoint ZimReaper genoemd, steelt CSRF-tokens, automatisch ingevulde wachtwoorden, 2FA scratch codes en Zimbra-versiegegevens via de eigen API's van het platform. Deze gegevens worden via DNS-queries naar de infrastructuur van de aanvallers gestuurd.

Vervolgens brute-forcet de payload de Global Address List door alle combinaties van twee tekens te proberen, waarna het 90 dagen aan e-mails van het slachtoffer verzamelt en als TGZ-archief naar de command-and-control servers uploadt. Unit 42 telde minstens negen C2 IP-adressen en negen domeinen, die gemiddeld 35,4 dagen actief waren. Er zijn geen specifieke slachtoffers of aantallen bekendgemaakt, maar de doelwitten bevinden zich in overheids-, defensie-, transport- en financiële sectoren binnen NAVO-landen, Oekraïne, de Gemenebest van Onafhankelijke Staten en Afrika. Proofpoint noemt ook Amerikaanse organisaties, waaronder overheids-, wetenschappelijke en defensiegerelateerde entiteiten, waaronder nucleaire installaties.

De payload maakt een app-specifiek wachtwoord aan met de naam ZimbraWeb via CreateAppSpecificPasswordRequest, waarmee toegang tot IMAP, POP3 of SMTP mogelijk is zonder tweefactorauthenticatie. Proofpoint meldde dat TA488 daarna verdere exploit-e-mails verstuurde vanaf gecompromitteerde mailservers, maar kon niet bevestigen of de app-wachtwoorden of andere gestolen credentials werden misbruikt.