){kind=link}
Uma campanha de espionagem orquestrada por grupos supostamente ligados à Rússia explora uma vulnerabilidade do serviço de email Zimbra. O diferencial dessa campanha maliciosa é que ela pode invadir contas de email de grandes organizações sem que as vítimas cliquem em links ou baixem anexos na mensagem.
A operação foi descoberta pela empresa de cibersegurança Proofpoint e confirmada em um alerta conjunto assinado por agências como NSA, FBI, CISA e serviços de inteligência de diversos países. Segundo o relatório, a campanha esteve ativa desde julho de 2025 e utilizou a vulnerabilidade CVE-2025-66376 como um ataque do tipo zero-day.
smart_display
Nossos vídeos em destaque
Entre os principais alvos estavam órgãos do governo ucraniano, agências dos Estados Unidos, organizações ligadas à defesa, instalações nucleares, instituições científicas e empresas europeias. Os pesquisadores atribuem a campanha ao grupo TA488, também conhecido como Laundry Bear ou Void Blizzard.
Esse grupo é apontado como uma organização de espionagem patrocinada pelo Estado russo. Apesar disso, o relatório não menciona nominalmente que o governo russo está por trás desses ataques, mesmo que os alvos possam estar alinhados aos interesses estratégicos de Moscou.
O que mais impressiona é que essa campanha é disseminada por um tipo de phishing aprimorado. Se antes a ação humana de clicar em links ou fazer downloads era necessária, essa ameaça esconde um código malicioso diretamente no corpo do email. A armadilha só espera a vítima abrir aquele conteúdo, inocentemente.
O ZimReaper
Essa operação do grupo TA488 usa uma vulnerabilidade do próprio sistema Zimbra para ser perpetuado. Os cibercriminosos enviavam emails aparentemente legítimos sobre temas relacionados a negócios, cooperação internacional e assuntos administrativos. De início, a mensagem era enviada via Proton Mail, mas depois passaram a enviar de contas comprometidas em invasões anteriores.
Quando a vítima abria o email, entrava em ação uma ferramenta feita pelo próprio grupo, chamada de Ulej no relatório e de ZimReaper pela Proofpoint. Imediatamente, o malware identificava o endereço de email da vítima e a versão do Zimbra. Depois, buscava por códigos de recuperação de autenticação de 2 fatores, dispositivos conectados e informações gerais da conta.
Esse vírus também criava uma senha para um aplicativo falso chamado “ZimbraWeb”. Isso fazia com que os hackers conseguissem criar um tipo de canal secreto para utilizar o protocolo de IMAP do email para acessar a caixa de entrada da vítima continuamente, sem dificuldades.
)
Todos esses dados eram enviados de forma furtiva para a infraestrutura do grupo russo, conhecida como “Flowerbed”, utilizando tráfego HTTPS disfarçado e complexos túneis de DNS. O código malicioso exportava até 90 dias de mensagens e consultava a lista de contatos da organização, para distribuir os próximos ataques.
Tudo só foi possível graças a uma vulnerabilidade do tipo “Cross-Site Scripting” existente no Zimbra. A brecha permitia executar códigos JavaScript na própria interface do email. O grupo cibercriminoso também fragmentava esse código em pequenos trechos para passar pelo mecanismo de filtragem do serviço.
Como se proteger
Apesar da campanha massiva contra inúmeros alvos de suma importância, essa vulnerabilidade no Zimbra foi corrigida pela empresa em novembro de 2025. Por isso, a principal recomendação é que todas as empresas que utilizam o serviço atualizem para a versão 10.1.13 ou superior.
É importante notar que embora a correção tenha sido lançada há bastante tempo, essa vulnerabilidade só foi catalogada em janeiro de 2026. Inclusive, somente em julho que a Proofpoint e a coalizão de agências de cibersegurança publicaram o relatório técnico sobre a ameaça.
Por falar em ataques expressivos, um vírus bancário brasileiro se tornou uma grande ameaça para empresas em Portugal. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.