Một nhóm đối tượng được xác định là LAUNDRY BEAR đang tích cực khai thác một lỗ hổng zero-day nghiêm trọng trong Zimbra Collaboration Suite (ZCS). Mục tiêu chính là bí mật trích xuất thông tin nhạy cảm, đặc biệt là email, từ các tổ chức phương Tây. Chiến dịch tấn công mạng này tập trung vào hoạt động gián điệp thay vì lợi ích tài chính, thể hiện sự tinh vi trong các cuộc tấn công mạng hiện nay.
Các lĩnh vực bị nhắm mục tiêu rất đa dạng, bao gồm chính phủ, quốc phòng, năng lượng, giáo dục, truyền thông, các tổ chức phi chính phủ (NGO) và công nghệ. Việc khai thác lỗ hổng CVE này đòi hỏi một phân tích kỹ thuật sâu sắc để hiểu rõ cơ chế hoạt động và cách thức bảo vệ.
Phân tích Kỹ thuật về Lỗ hổng CVE trong Zimbra ZCS
Cuộc tấn công lợi dụng một lỗ hổng CVE được phân loại là CVE-2025-66376, một lỗi cross-site scripting (XSS) trong webmail của ZCS. Đây là một zero-day vulnerability cho phép thực thi mã từ xa, đặt ra rủi ro bảo mật nghiêm trọng cho các hệ thống dễ bị tổn thương sử dụng Zimbra.
Để hiểu rõ hơn về tính chất và chi tiết của lỗ hổng CVE-2025-66376, bạn có thể tham khảo thông tin chi tiết trên NVD NIST.
Cơ chế Khai thác Ban đầu của Cuộc Tấn công Mạng
Điểm vào ban đầu của cuộc tấn công mạng là qua một email spear-phishing tinh vi. Email này chứa một payload JavaScript được nhúng khéo léo trong hình ảnh SVG. Điều đáng chú ý là kỹ thuật khai thác này không yêu cầu người dùng nhấp vào liên kết hoặc mở tệp đính kèm.
Chỉ cần xem email trong một ứng dụng Zimbra client dễ bị tổn thương, mã độc sẽ tự động kích hoạt. Điều này xảy ra do việc xử lý CSS không đúng cách của ứng dụng, dẫn đến việc thực thi mã mà không có sự tương tác của người dùng.
Thu thập Thông tin và Duy trì Quyền truy cập
Sau khi được thực thi, JavaScript chạy một loạt các bước tự động để thu thập thông tin quan trọng từ tài khoản nạn nhân. Các dữ liệu này bao gồm địa chỉ email, trạng thái thiết bị, OAuth consumers và các mã dự phòng (scratch codes) của xác thực hai yếu tố (2FA).
Tập lệnh cũng kích hoạt quyền truy cập IMAP và tạo một Zimbra Application Passcode mới với tên “ZimbraWeb”. Việc này cho phép những kẻ tấn công duy trì quyền truy cập liên tục, đồng thời bỏ qua các biện pháp bảo vệ 2FA gốc của ZCS, một hậu quả nghiêm trọng của việc khai thác lỗ hổng CVE.
Ngoài ra, payload độc hại còn cố gắng thao túng các trình quản lý mật khẩu. Mục tiêu là tự động điền thông tin xác thực vào các biểu mẫu đăng nhập ẩn để thực hiện hành vi đánh cắp thông tin đăng nhập tiếp theo. Đây là một chiến thuật phức tạp để mở rộng phạm vi xâm nhập sau khi khai thác lỗ hổng CVE ban đầu.
Quy trình Rò rỉ Dữ liệu Email
Để đánh cắp email, tập lệnh truy vấn hộp thư một cách có hệ thống, tìm kiếm các tin nhắn không phải thư rác trong vòng 90 ngày qua. Dữ liệu được truy xuất sau đó được nén lại và chuẩn bị để chuyển giao thông qua framework có tên “Ulej”.
Framework Ulej chuyển dữ liệu đến các máy chủ do kẻ tấn công kiểm soát, chạy một hệ thống thu thập dựa trên Python có tên là “Flowerbed”. Hệ thống này được thiết kế để hoạt động hiệu quả và bí mật.
Hệ thống Flowerbed đảm bảo rằng việc thu thập lặp lại các email đã bị đánh cắp trước đó được tránh. Tuy nhiên, các email từ ngày hiện tại luôn được thu thập mỗi khi khai thác được thực thi. Điều này giúp đảm bảo dữ liệu mới nhất luôn được lấy đi, cho thấy sự quản lý hiệu quả của hệ thống exfiltration.
Thông tin chi tiết về các cảnh báo liên quan đến các cuộc tấn công tương tự có thể được tìm thấy trên CISA Advisory AA26-204A.
Phương pháp Truyền Tải Dữ liệu (Exfiltration)
Quá trình rò rỉ dữ liệu sử dụng cả HTTPS và DNS làm phương thức truyền tải bí mật. Đối với các mục dữ liệu nhỏ hơn, mã độc mã hóa thông tin bằng Base32 và kích hoạt các truy vấn DNS thông qua các URL hình ảnh được tạo đặc biệt.
Các tệp lớn hơn, bao gồm kho lưu trữ email và nội dung Global Address List (GAL), được chuyển qua HTTPS đến hạ tầng Flowerbed. Hạ tầng này được bảo mật bằng chứng chỉ Let’s Encrypt và xử lý thông qua một reverse proxy Nginx.
Hạ tầng và Hoạt động của Flowerbed
Thiết lập Flowerbed sử dụng các container Docker cho nhiều tác vụ hoạt động khác nhau, bao gồm truyền tải dữ liệu qua HTTP/DNS và kiểm tra tình trạng hệ thống. Nó cũng sử dụng các dịch vụ VPN như Mullvad để che giấu các hoạt động của mình, tăng cường tính ẩn danh và khó theo dõi.
Các tệp nhật ký JSON và payload được dàn dựng cẩn thận để rò rỉ dữ liệu. Việc tự động xóa các tệp cũ hơn được thực hiện để duy trì tính ẩn danh trong quá trình hoạt động. Sự phức tạp của hạ tầng này làm nổi bật khả năng tổ chức của nhóm đe dọa.
Theo một cảnh báo bảo mật, có bằng chứng cho thấy các công cụ AI đã được sử dụng để hỗ trợ phát triển codebase của Flowerbed. Điều này nhấn mạnh xu hướng ngày càng tăng của các tác nhân đe dọa lợi dụng trí tuệ nhân tạo để tăng tốc các hoạt động tác chiến không gian mạng, ngay cả khi khai thác một lỗ hổng CVE.
Phát hiện và Biện pháp Giảm thiểu Lỗ hổng CVE
Mặc dù chiến dịch có tính chất bí mật cao, vẫn có những cơ hội để các nhà bảo vệ phát hiện ra sự xâm nhập. Ví dụ, nhật ký hộp thư của ZCS có thể hiển thị hoạt động SOAP bất thường, cho thấy có sự thỏa hiệp. Điều này là dấu hiệu quan trọng của phát hiện xâm nhập.
Ngoài ra, các mục nhập trong trình duyệt localStorage có thể tiết lộ ngày rò rỉ email. Điều này hỗ trợ đáng kể trong các nỗ lực ứng phó sự cố và điều tra. Các tổ chức được khuyến nghị khẩn trương vá lỗi cho lỗ hổng CVE-2025-66376.
Việc xem xét các phương pháp truy cập email thay thế cũng là một bước quan trọng. Điều này giúp bảo vệ chống lại các cuộc tấn công mạng lén lút như đã mô tả. Việc nhanh chóng triển khai bản vá bảo mật là tối cần thiết để đóng lỗ hổng CVE này.
Các Bước Khuyến Nghị để Bảo vệ Hệ thống
Để giảm thiểu rủi ro từ mối đe dọa dai dẳng và tiên tiến này, các tổ chức cần thực hiện các bước sau:
- Thu hồi tất cả Zimbra Application Passcodes: Đảm bảo rằng bất kỳ mã nào có thể đã bị đánh cắp đều trở nên vô hiệu.
- Thu hồi mã dự phòng (scratch codes) của xác thực hai yếu tố: Điều này ngăn chặn việc kẻ tấn công sử dụng các mã này để truy cập lại.
- Cập nhật bản vá bảo mật: Nhanh chóng áp dụng các bản vá mới nhất từ nhà cung cấp để khắc phục lỗ hổng CVE-2025-66376.
- Giám sát chặt chẽ hệ thống: Theo dõi nhật ký và hoạt động mạng để phát hiện các dấu hiệu bất thường, tăng cường khả năng phát hiện xâm nhập.
Việc áp dụng các biện pháp bảo mật toàn diện và chủ động là cần thiết. Điều này giúp chống lại các kỹ thuật tấn công mạng ngày càng phức tạp và bảo vệ dữ liệu nhạy cảm của tổ chức khỏi các mối đe dọa tiềm tàng.
