Una campagna di cyber spionaggio ha sfruttato una vulnerabilità zero day in Zimbra per leggere per mesi le caselle di posta di organizzazioni occidentali e sottrarre informazioni sensibili. Il punto critico è che l’attacco avviene nel client webmail Classic UI e può attivarsi semplicemente visualizzando una email HTML malevola nella sessione autenticata, senza bisogno di clic su link o allegati.
In pratica il codice si esegue quando il messaggio viene renderizzato dal browser, ereditando i permessi dell’utente e ottenendo accesso diretto alla mailbox.
La falla, identificata come CVE 2025 66376, è una stored cross-site scripting che abusa della gestione di CSS @import per eseguire JavaScript dentro Zimbra. Questo consente al payload di raccogliere:
- Gli ultimi 90 giorni di email
- La rubrica completa dell’organizzazione
- La password salvata nel browser
- I codici di recupero della 2FA
La gravità operativa non dipende solo dal punteggio CVSS, ma dal fatto che la sola visualizzazione del messaggio può essere sufficiente a compromettere l’account.
Il malware associato, noto come ZimReaper, usa le API della piattaforma per estrarre token e dettagli di versione, recuperare scratch code 2FA e preparare l’esfiltrazione. Un aspetto distintivo è l’esfiltrazione via DNS, con query contenenti sottodomini lunghi e casuali verso infrastrutture controllate dagli attaccanti. Inoltre viene effettuata una enumerazione aggressiva della Global Address List (GAL), interrogando combinazioni di due caratteri per ricostruire l’intero elenco indirizzi, e le email vengono inviate al comando e controllo in un archivio compresso.
La vulnerabilità impatta Zimbra Collaboration 10.0 prima di 10.0.18 e 10.1 prima di 10.1.13. Aggiornare è indispensabile, ma non basta: la patch chiude il vettore, non annulla credenziali già sottratte. Per questo la risposta corretta include azioni sugli account potenzialmente esposti, tra cui:
- Reset delle password
- Invalidazione delle sessioni attive
- Rigenerazione dei codici 2FA
Va anche verificata la presenza di password specifiche per app create in modo anomalo, perché possono consentire accesso IMAP/POP3/SMTP senza passare dalla 2FA e possono sopravvivere anche a cambi password.