A CISA, a NSA, o FBI e agências de cibersegurança de mais de uma dúzia de países aliados, incluindo Países Baixos, Reino Unido, Austrália e Canadá, emitiram nesta semana um alerta conjunto expondo uma campanha ativa do LAUNDRY BEAR, um grupo de ameaças apoiado pelo estado russo também rastreado como Void Blizzard. Desde julho de 2025, o grupo tem invadido contas de e-mail em servidores Zimbra Collaboration Suite sem precisar que a vítima clique em um link, digite uma senha ou visite uma página de login falsa. A vítima só precisa pré-visualizar a mensagem.
Como Funciona o Exploit de Clique Zero
O ponto de entrada é o CVE-2025-66376, uma falha de cross-site scripting na interface Classic UI do Zimbra Collaboration Suite. O JavaScript malicioso incorporado em um e-mail HTML cuidadosamente construído é executado no momento em que a mensagem é renderizada em uma sessão de webmail vulnerável, sem exigir clique, download ou entrada de credenciais por parte do alvo. Esse JavaScript é executado dentro da própria sessão autenticada do Zimbra da vítima, o que significa que ele herda qualquer acesso que essa sessão já possua.
O LAUNDRY BEAR combina o exploit com uma ferramenta personalizada que o alerta chama de Ulej, “colmeia” em russo. Uma vez acionado, o Ulej coleta e exfiltra automaticamente os últimos 90 dias de e-mail da vítima, seu endereço de e-mail, sua senha, entradas da Lista Global de Endereços da organização e quaisquer tokens de autenticação de dois fatores ativos na sessão. Ele não para no roubo. O Ulej também gera um novo código de aplicativo do Zimbra e o envia de volta ao atacante. Os códigos de aplicativo existem para permitir que clientes legados que usam IMAP ou ActiveSync se conectem sem passar por uma solicitação TOTP toda vez, e um código gerado dessa forma dá ao LAUNDRY BEAR acesso permanente à caixa de correio que sobrevive a uma redefinição de senha e nunca mais precisa passar por um desafio de MFA.
Quem Está Sendo Alvo
O alerta conjunto vincula a campanha do Zimbra do LAUNDRY BEAR a vítimas na Base Industrial de Defesa, governos federais e locais, educação, energia, aplicação da lei, mídia, organizações não governamentais e tecnologia, espalhadas pelos Estados Unidos, Ucrânia e outros países alinhados à OTAN. O Zimbra lançou uma correção para o CVE-2025-66376 em 6 de novembro de 2025, nas versões 10.1.13 e 10.0.18. A campanha continuou por meses após essa data, o que indica claramente onde está o risco real: não na ausência de um patch, mas na lacuna entre o momento em que um patch é lançado e o momento em que um servidor de e-mail autogerenciado realmente o instala.
Por Que o DMARC Não Tem Nada a Dizer Sobre Isso
Vale a pena ser preciso sobre por que essa campanha fica completamente fora do que o DMARC verifica. O DMARC, o SPF e o DKIM existem para responder a uma única pergunta: essa mensagem veio de uma infraestrutura que o domínio remetente declarado autorizou a enviá-la? Eles não dizem nada sobre o conteúdo da mensagem depois que ela chega. O CVE-2025-66376 é acionado pela forma como a interface Classic UI do Zimbra renderiza HTML dentro do corpo de um e-mail, não por nada relacionado a quem o remetente afirma ser. Um atacante poderia rotear exatamente essa mesma carga por um domínio com um registro DMARC impecável em aplicação total, e o exploit seria acionado de forma idêntica, porque a vulnerabilidade está na lógica de interpretação do cliente webmail, não na autorização do domínio.
A etapa do código de aplicativo torna a lacuna ainda mais difícil de fechar depois do fato. Uma vez que o LAUNDRY BEAR possui um código válido para uma caixa de correio comprometida, qualquer e-mail enviado por meio dessa conta usando-o se autentica com total normalidade. Ele se origina do servidor de e-mail real, pode ser assinado com a chave DKIM genuína do domínio, e passará no alinhamento DMARC em qualquer destinatário que o verifique, porque, até onde o protocolo consegue saber, o proprietário da conta é quem está enviando. O DMARC foi criado para detectar alguém falsificando um domínio de fora da organização. Ele não tem como perceber que uma caixa de correio legítima silenciosamente ganhou um segundo dono.
O Que as Equipes de Defesa Devem Fazer
Atualizem para o Zimbra Collaboration Suite 10.1.13 ou 10.0.18 imediatamente, caso ainda não tenham feito isso. A correção existe desde novembro de 2025, e essa campanha é evidência direta do que uma janela sem patch tão longa realmente custa.
Auditem os códigos de aplicativo existentes em cada caixa de correio, não apenas daqui para frente. Um código que o proprietário da conta não se lembra de ter gerado é um forte indicador de comprometimento anterior, e revogá-lo ou rotacioná-lo não desfaz o que já foi exfiltrado durante o tempo em que esteve ativo.
Tratem qualquer instância do Zimbra sem patch como potencialmente já comprometida, não apenas exposta. Como a campanha está em execução desde julho de 2025, verificar os registros em busca de exportações incomuns da Lista Global de Endereços, eventos inesperados de criação de código de aplicativo ou acesso ao e-mail vindo de faixas de IP desconhecidas importa mais agora do que confirmar apenas o nível do patch.
Mantenham a aplicação do DMARC e o patch do webmail como dois controles separados e não substituíveis entre si. Configurar todos os domínios que você possui para uma política de rejeição continua sendo correto e necessário. Isso não vai fechar uma falha de renderização do lado do cliente, porque os dois controles se defendem contra modos de falha completamente diferentes.
A Conclusão
A campanha do Zimbra do LAUNDRY BEAR não é um desvio do DMARC em nenhum sentido real, porque ela nunca precisou chegar perto do DMARC para ter sucesso. Ela mira o software que renderiza seu e-mail, não as alegações de identidade que seus registros de autenticação atestam, e uma vez que planta um código de aplicativo funcional, ela herda o mesmo caminho de envio autenticado que o DMARC existe para proteger. Um patch disponível desde novembro teria impedido isso completamente. Nenhuma política de DMARC, por mais rígida que fosse, jamais conseguiria.
A Excello Mail oferece visibilidade contínua sobre seus relatórios agregados de DMARC e sobre as fontes que realmente enviam em nome do seu domínio, para que atividades autenticadas incomuns vindas de uma caixa de correio comprometida tenham mais chances de serem notadas enquanto sua equipe mantém o restante da infraestrutura de e-mail atualizada. Cadastre-se gratuitamente na Excello Mail e coloque essa visibilidade em prática hoje.