Laundry Bear exploite une faille de sécurité dans les serveurs Zimbra non corrigés, volant 90 jours d'e-mails et de données d'authentification sans que les victimes ne cliquent sur un lien.
Ouvrir un e-mail inattendu peut sembler relativement inoffensif lorsque vous évitez ses liens et ses pièces jointes. Cependant, une campagne de piratage russe a bouleversé ces conseils de sécurité familiers.
Une fois l’e-mail affiché, le code caché peut collecter des mots de passe, des données d’authentification et jusqu’à 90 jours de messages. Vous ne verrez peut-être jamais d’avertissement ni ne réaliserez que quelque chose s’est passé.
L’Agence de cybersécurité et de sécurité des infrastructures a émis cet avertissement en collaboration avec l’Agence de sécurité nationale, le FBI et les autorités cybernétiques de plusieurs pays alliés. Les agences affirment que le groupe a ciblé avec succès plus de 10 organisations occidentales depuis juillet 2025.
CyberGuy Live : Vous avez manqué « Vous en avez assez du spam ? » Obtenez la rediffusion et la liste de contrôle
Obtenez la rediffusion gratuite et la liste de contrôle maintenant sur CyberGuyLive.com.
Les pirates russes peuvent voler des e-mails sans un clic normal
Laundry Bear, que Microsoft suit sous le nom de Void Blizzard, exploite une faille de sécurité connue sous le nom de CVE-2025-66376. La vulnérabilité de script intersite affecte l’interface utilisateur classique dans certaines versions de Zimbra Collaboration Suite.
Zimbra est une plateforme de messagerie et de collaboration utilisée par certains gouvernements, écoles, entreprises et autres organisations comme alternative à des services tels que Microsoft Exchange ou Google Workspace. Les attaquants peuvent placer du JavaScript malveillant dans un e-mail HTML spécialement conçu. Ce code s’exécute automatiquement lorsqu’un client de messagerie Web Zimbra vulnérable affiche le message.
La personne qui lit l’e-mail n’a pas besoin d’ouvrir une pièce jointe. L’attaque évite également la demande habituelle de saisie d’un mot de passe sur une page de phishing évidente. Cependant, l’e-mail doit toujours apparaître à l’écran. CISA décrit la technique comme un exploit sans clic. Proofpoint appelle cela une attaque « demi-clic », car quelqu’un doit ouvrir l’e-mail ou le laisser apparaître dans un volet d’aperçu. Les deux descriptions conduisent à la même préoccupation. Un message peut paraître inoffensif alors que le code caché à l’intérieur attaque discrètement le compte de messagerie.
Laundry Bear aurait utilisé la faille comme zero-day avant que Zimbra ne publie un correctif en novembre 2025. Une attaque zero-day exploite une faille de sécurité avant que le fabricant du logiciel ne fournisse un correctif. CISA a ensuite ajouté la vulnérabilité à sa liste de failles exploitées activement par les pirates.
Le correctif disponible comble la faille de sécurité connue. Pourtant, Laundry Bear continue de cibler les organisations qui n’ont pas installé la mise à jour. Cela rend les correctifs retardés particulièrement dangereux. Une organisation peut disposer de mots de passe forts et d’employés formés, mais un serveur de messagerie exposé peut toujours offrir aux attaquants un autre accès.
La campagne a touché des organisations liées à la base industrielle de défense et au gouvernement. Les attaquants ont également ciblé les secteurs de l’éducation, de l’énergie, des forces de l’ordre, des médias, des groupes à but non lucratif et des entreprises technologiques.
Selon CISA, le code malveillant tente de collecter les 90 derniers jours de courrier électronique de la cible. Cela peut inclure des conversations privées avec des collègues, des discussions contractuelles ou des informations sur les réunions à venir. Une boîte de réception peut également contenir des avis de réinitialisation de mot de passe, des factures et des documents révélant le fonctionnement d’une organisation.
Laundry Bear collecte également l’adresse e-mail et le mot de passe de la personne. L’attaque peut copier la liste d’adresses globale de l’organisation, qui fait office de répertoire d’employés et de contacts. Les pirates peuvent alors obtenir suffisamment d’informations pour usurper l’identité d’un collègue de confiance ou identifier des comptes plus précieux.
CISA indique que l’exploit cible également les jetons d’authentification à deux facteurs. Ces jetons permettent de prouver que quelqu’un a déjà effectué une étape d’authentification. Un jeton ou un cookie de session volé peut permettre à un attaquant d’accéder à un compte sans terminer à nouveau le processus de connexion normal.
Les pirates peuvent créer un moyen caché d’accéder à un compte
Voler des informations apporte une valeur immédiate, mais Laundry Bear essaie également de préserver son accès. L’attaque crée un nouveau mot de passe pour l’application Zimbra et le renvoie aux pirates. Les anciens programmes de messagerie utilisent ces codes d’accès lorsqu’ils se connectent via des services tels que IMAP ou ActiveSync et ne peuvent pas prendre en charge l’authentification temporelle moderne.
Un mot de passe non autorisé peut donner aux pirates une autre entrée à la boîte aux lettres. Cet accès peut continuer même après que quelqu’un ait modifié le mot de passe du compte principal. La CISA a exhorté les administrateurs à rechercher les codes d’accès d’application suspects, en particulier les codes d’accès intitulés « ZimbraWeb ».
Les organisations doivent considérer un mot de passe inconnu comme un signe que quelqu’un a pu accéder au compte. Le simple fait d’installer le correctif après une compromission peut laisser l’accès de l’attaquant en place.
Laundry Bear envoie les informations volées aux serveurs contrôlés par le groupe. CISA affirme que les attaquants utilisent un framework de collecte appelé Flowerbed. Le système déplace des éléments de données plus petits via des requêtes du système de noms de domaine. Le DNS aide normalement les ordinateurs à trouver des sites Web et des services en ligne.
Les attaquants peuvent cacher des informations codées dans ces requêtes. Étant donné que les organisations génèrent de grandes quantités de trafic DNS légitime, l’activité malveillante peut se fondre dans l’arrière-plan. Laundry Bear envoie des collections plus importantes via des connexions HTTPS cryptées. Cela peut inclure des archives compressées contenant des données de boîte aux lettres. Les équipes de sécurité devront peut-être inspecter les journaux réseau, les enregistrements d’authentification et l’activité des boîtes aux lettres pour comprendre ce qui a quitté l’organisation.
Laundry Bear utilise également des kits de phishing d’adversaire au milieu. Ces outils créent des pages de connexion qui ressemblent beaucoup à des portails de messagerie légitimes. Lorsqu’une personne saisit un nom d’utilisateur et un mot de passe, le système de phishing capture ces informations d’identification. Il peut également intercepter les cookies de session créés lors du processus de connexion. Cela signifie qu’un attaquant peut y accéder même lorsque le compte utilise une authentification multifacteur conventionnelle.
Les indicateurs de compromission de CISA incluent des domaines qui ont usurpé l’identité de l’infrastructure Zimbra. Les exemples incluent mailnalysis.com, zimbrastat.com, zimbra-metadata.com et zmailanalytics.com. La présence de l’un de ces domaines dans les journaux réseau pourrait indiquer un phishing ou une activité de compte non autorisée. Toutefois, les organisations devraient consulter la liste complète de CISA, car les attaquants peuvent modifier leur infrastructure.
Proofpoint a découvert que Laundry Bear envoyait des messages à partir de comptes Proton Mail contrôlés par des attaquants et d’adresses e-mail que le groupe avait déjà compromises. Dans un exemple, l’expéditeur prétendait représenter un organisme belge de vérification des médias. Le courrier électronique proposait une coopération entre les institutions européennes pour lutter contre la désinformation. Il comprenait un lien d’apparence légitime vers un calendrier d’événements de l’Union européenne. Cependant, le code malveillant se trouvait dans l’e-mail plutôt que dans le site Web lié.
Laundry Bear a ciblé les gouvernements et l’Ukraine
Les agences de renseignement néerlandaises ont publiquement identifié Laundry Bear en mai 2025. Leur enquête a lié le groupe à une violation de la police nationale néerlandaise en 2024. Cet incident a révélé des informations personnelles appartenant au personnel policier. Les enquêteurs ont déclaré que l’attaque les avait aidés à identifier un groupe de cyberespionnage russe jusqu’alors inconnu.
Depuis au moins 2024, Laundry Bear se concentre sur les organisations liées aux intérêts stratégiques russes. Ses cibles incluent les États membres de l’OTAN et les groupes soutenant l’Ukraine.
Microsoft a documenté des compromissions impliquant des organisations de défense ainsi que des entités des transports et de l’aviation. Une campagne distincte a ciblé des membres de l’armée ukrainienne avec des courriels de phishing à caractère caritatif. Ces messages dissimulaient des logiciels malveillants en demandes de dons.
Ces campagnes suggèrent que le groupe se soucie davantage de la collecte de renseignements à long terme que d’un paiement financier rapide. L’accès au courrier électronique peut révéler des relations, des projets futurs et des décisions internes.
La protection la plus efficace commence au niveau de l’organisation qui exécute le serveur de messagerie, car les employés ne peuvent pas appliquer personnellement de correctifs à une installation vulnérable. Cependant, vous pouvez toujours prendre des mesures pour détecter les activités suspectes et protéger vos autres comptes.
[…] La suite de l’article est à lire sur Fox News via le lien ci-dessous.
Traduit automatiquement de l’anglais. Le texte original fait foi.
Source : Fox News — Lire l’article original
À propos de l'auteur
