Laundry Bear nutzte Zimbra Zero-Day fünf Monate vor dem Patch aus

Sechzehn Länder haben an diesem Donnerstag gemeinsam eine einzige Cybersicherheitswarnung veröffentlicht – ausgelöst durch einen Zimbra-Bug mit einem CVSS-Score von 6.1. Das ist die Zahl, bei der man innehalten sollte: Ein mittlerer Schweregrad, den die meisten Patch-Prozesse hinter einem Dutzend kritischer CVEs zurückstellen würden – und dieser Bug war von Juli 2025 bis November 2025 aktiv in der freien Wildbahn. Fünf Monate Verweildauer eines Zero-Click-E-Mail-Exploits, gegen Ziele aus Verteidigung, Energie, Finanzen und Behörden.

Was geschah

Die russische staatlich geförderte Gruppe, die als Laundry Bear verfolgt wird – auch bekannt als Void Blizzard – führt seit mindestens Juli 2025 eine Spionagekampagne gegen Regierungen und kommerzielle Organisationen durch. Wie CyberScoop berichtete, nutzte die Gruppe eine Zero-Day-Schwachstelle in Zimbra Collaboration Suite aus, katalogisiert als CVE-2025-66376, die Zimbra erst im November 2025 patchte. Das entspricht einem fünfmonatigen Zeitfenster, in dem ein vollständig bewaffneter Zero-Click-Exploit produktiv gegen NATO-nahe Ziele eingesetzt wurde.

Die Exploit-Kette kommt dem Angreifer ungewöhnlich entgegen. Ein einfacher Aufruf genügt. Kein Klick des Nutzers, kein Öffnen eines Anhangs, kein Makro. Einmal ausgelöst, extrahiert die Payload die E-Mails der letzten 90 Tage, das Konto-Passwort, den Suchverlauf des Nutzers, das vollständige E-Mail-Verzeichnis der Opferorganisation, Zwei-Faktor-Authentifizierungstoken sowie neu erstellte Passwörter. Der Diebstahl des Verzeichnisses ist der entscheidende Multiplikator, da er die nächste Phishing-Welle mit legitimen internen Kontakten füttert.

Die bisher gemeldete Opferverteilung umfasst Verteidigung, Bildung, Energie, Strafverfolgung, Medien, Finanzen, Transport und Technologie. Behörden nannten keine konkreten Opfer und machten keine Angaben zur Gesamtzahl der kompromittierten Organisationen – das ist die erste offene Frage, die es zu markieren gilt: Ohne Opferzahl lässt sich der Schadensradius nicht eingrenzen. Die Tatsache, dass 16 Regierungen (USA, Großbritannien, Kanada, Australien, Neuseeland, Tschechische Republik, Dänemark, Estland, Finnland, Frankreich, Italien, Moldau, Niederlande, Polen, Spanien und Schweden) eine gemeinsame Warnung herausgaben, deutet darauf hin, dass die Zahl nicht gering ist. Die Warnung ordnet die Aktivität russischer Regierungsunterstützung zu, basierend auf dem verdeckten, anhaltenden Muster und dem Fehlen finanzieller Erpressung. Ukrainische Nutzer wurden zuerst getroffen, dann NATO-Verbündete – eine Abfolge, die die Warnung ausdrücklich als „Testbed"-Muster bezeichnet.

Technische Anatomie

Die technischen Details sind relevant, weil CVE-2025-66376 nur 6.1 bewertet wird. Das entspricht derselben Schweregradkategorie, die ein Sicherheitsteam einem reflected XSS auf einer Marketing-Website zuordnen würde. In diesem Fall führte dieselbe Bewertungsklasse zu einer vollständigen Postfach-Übernahme mit 2FA-Token-Diebstahl. Das CVSS-Schema gewichtet Benutzerinteraktion und Rechtegrenzen auf eine Weise, die view-ausgelöste Bugs in Messaging- und Kollaborationssystemen systematisch unterbewertet – dort ist „der Nutzer liest seine E-Mails" die gesamte Produktoberfläche.

Der Angriffsvektor ist eine benutzerdefinierte JavaScript-Payload, die über Phishing-E-Mails eingeschleust wird. Was Laundry Bear von einem durchschnittlichen Phishing-Betreiber unterscheidet, ist das Exfiltrationswerkzeug, das Behörden „beehive" genannt haben. Beehive übernimmt sowohl die Datenextraktion als auch die Aggregation, und die Warnung weist darauf hin, dass es wahrscheinlich auf andere Schwachstellen übertragbar ist. In der Praxis bedeutet das: Der Zimbra-Patch schließt die aktuelle Tür, nicht aber das dahinterliegende Werkzeug. Wenn beehive modular aufgebaut ist, könnte die nächste Kampagne über SharePoint, Zoho oder jede andere Kollaborationsplattform mit einer Rendering-Pipeline laufen, die nicht vertrauenswürdiges HTML oder Script verarbeitet.

Das 90-Tage-E-Mail-Fenster ist ebenfalls nicht zufällig. Es deutet darauf hin, dass die Payload auf ein spezifisches Datenvolumen optimiert ist, das innerhalb einer plausiblen Sitzung exfiltriert werden kann, ohne Egress-Alarme in den meisten SIEM-Baselines auszulösen. Im Vergleich dazu greifen Ransomware-Gruppen alles ab und verbrennen ihr Erkennungsbudget für Geschwindigkeit. Laundry Bear macht das Gegenteil: begrenzte Abzüge, Credential-Diebstahl und Verzeichnis-Harvesting zur Ermöglichung von Lateral-Phishing. Das ist klassische Espionage-Tradecraft und lässt sich sauber auf MITRE ATT&CK-Techniken rund um T1114 (E-Mail-Sammlung) und T1078 (gültige Konten) abbilden – nicht auf das Smash-and-Grab-Muster, auf das die meiste Unternehmens-Erkennung ausgerichtet ist.

Die Warnung stellt zudem fest, dass die Zielauswahl manuell zu erfolgen scheint. Operatoren identifizieren offenbar Organisationen mit öffentlich zugänglicher Zimbra-Infrastruktur und stellen dann E-Mail-Listen für die Phishing-Welle zusammen. Das ist keine Spray-Kampagne. Die Reconnaissance-Zeit pro Ziel ist unbekannt; wenn sie eher in Stunden als in Minuten pro Organisation gemessen wird, ist die Gesamtzahl der Operatoren hinter dieser Kampagne ein aussagekräftiges Signal über russische Cyber-Spionagekapazitäten, das wir derzeit nicht besitzen.

Wer ist betroffen

Die offensichtlichen Verlierer sind Zimbra-Betreiber in den acht genannten Sektoren. Zimbra war historisch gesehen besonders verbreitet bei europäischen Behörden, Universitäten und mittelständischen Unternehmen, die eine On-Premise-Alternative zu Microsoft 365 oder Google Workspace suchten. Diese Nutzerbasis tendiert zu Organisationen mit kleineren Sicherheitsteams und langsameren Patch-Zyklen – genau deshalb wurde ein fünfmonatiges Zero-Day-Fenster zu einer vollständigen Kampagne statt zu einer Handvoll opportunistischer Treffer.

Für CTOs und Plattformverantwortliche in Fintech und iGaming ist die direkte Exposition zwar enger (nur wenige dieser Unternehmen betreiben Zimbra), aber die indirekte Exposition ist real. Jede Organisation, deren Geschäftspartner, Regulierungsbehörden, Kanzleien oder Wirtschaftsprüfer Zimbra betreiben, hatte potenziell 90 Tage Korrespondenz, Verzeichnisdaten und 2FA-Token abgegriffen. Der Finanzsektor steht ausdrücklich auf der Opferliste. Wenn Ihre Compliance-Kette eine europäische Bank, eine nationale Aufsichtsbehörde oder eine mittelständische Kanzlei berührt, sollten Sie davon ausgehen, dass ein Teil Ihrer ausgehenden E-Mails aus dem Zeitraum Mai bis November 2025 nun in einem russischen Geheimdienstarchiv liegt.

Der Credential-Diebstahl ist das Folgerisiko, das sich in den nächsten zwei Quartalen entfalten wird. Gestohlene 2FA-Token haben eine begrenzte Halbwertszeit, gestohlene Passwörter jedoch nicht – und die Wiederverwendung von Passwörtern bei Corporate SSO, VPN und privaten Konten ist nach wie vor weit verbreitet. Meine Einschätzung: Die nächste Welle von Vorfällen, die Laundry Bear zugeschrieben werden, wird nicht wie Zimbra-Exploitation aussehen. Sie wird wie legitime Credential-Logins bei Okta, Microsoft Entra oder GitHub Enterprise von IPs aussehen, die geo-Plausibilitätsprüfungen bestehen – gespeist aus den in dieser Kampagne geernteten Passwörtern.

Die unbeantwortete Frage mit dem größten nachgelagerten Schadenpotenzial: Wie viele der kompromittierten Organisationen waren selbst Identity Provider, MSPs oder Federationspartner für größere Unternehmen? Die Warnung gibt darüber keine Auskunft. Wenn auch nur eine Handvoll davon betroffen war, wächst der Schadensradius durch vertrauenswürdige Federation um eine Größenordnung – und wir sollten die ersten Belege dafür innerhalb von 90 Tagen sehen, wenn ungewöhnliche Entra-Anmeldungen in Incident-Reports auftauchen.

Maßnahmenplan für Sicherheitsteams

Die grundlegende Maßnahme ist offensichtlich: Zimbra jetzt auf das November-2025-Release patchen, sofern noch nicht geschehen. Die Warnung bestätigt, dass ungepatchte Instanzen nach wie vor aktiv ausgenutzt werden. Wer jedoch während des Zeitfensters verwundbar war, für den ist der Patch nur der Mindeststandard, keine Remediation. Gehen Sie von einer Kompromittierung aus und arbeiten Sie rückwärts.

Konkrete Schritte für diese Woche: Erstens, Zimbra-Zugriffsprotokolle für den Zeitraum Juli bis November 2025 abrufen und gegen die mit der Warnung veröffentlichten IOCs abgleichen. Zweitens, Credentials und 2FA-Enrollments für alle Nutzer in Zimbra-Tenants, die in diesem Zeitraum öffentlich zugänglich waren, zwangsweise rotieren – einschließlich Service-Accounts und gemeinsam genutzter Postfächer. Drittens, davon ausgehen, dass das E-Mail-Verzeichnis exfiltriert wurde, und Nutzer warnen, gezieltes Phishing von scheinbar internen Absendern zu erwarten (hier zahlt sich beehives Verzeichnis-Harvest für den Angreifer aus). Viertens, den CISA KEV-Katalog-Eintrag für CVE-2025-66376 prüfen und die Reaktions-SLAs am KEV-Zeitplan ausrichten – nicht am CVSS-Score 6.1.

Die übergeordnete Lehre für Detection Engineering: Hören Sie auf, CVSS als Patch-Prioritätssignal für exponierte Kollaborations- und Messaging-Systeme zu behandeln. Ein Zero-Click auf einem Mailserver sollte unabhängig vom Base Score als kritisch eingestuft werden, da die Ausnutzungsvoraussetzungen (ein Nutzer mit einem Postfach) stets erfüllt sind. Bewerten Sie die Ausnutzbarkeit Ihres spezifischen Deployments, nicht die abstrakte Schwachstelle.

Wichtigste Erkenntnisse

• CVE-2025-66376 blieb fünf Monate lang ungepatcht (Juli bis November 2025) trotz aktiver Ausnutzung – ein Lehrstück dafür, warum CVSS 6.1 ein irreführendes Patch-Prioritätssignal für Zero-Click-Kollaborations-Bugs ist.
• Der Exploit stiehlt 90 Tage E-Mails, Passwörter, 2FA-Token, Suchverlauf und das vollständige Organisationsverzeichnis durch eine einzige view-ausgelöste Payload – optimiert für Spionage, nicht für Erpressung.
• Laundry Bears Exfiltrationstool „beehive" wird als auf andere Schwachstellen übertragbar beschrieben. Der Zimbra-Patch schließt diese Tür, nicht aber das Toolkit der Operatoren.
• Sechzehn Regierungen unterzeichneten die Warnung gemeinsam, nannten jedoch keine Opferzahl und keine konkreten Opfer – der Schadensradius ist nur durch die Größe der Zimbra-Installation in den genannten Sektoren begrenzt.
• Erwarten Sie, dass der Folgeschaden als legitime Credential-Einbrüche in SSO, VPN und SaaS-Plattformen in den nächsten zwei Quartalen sichtbar wird – gespeist aus den in dieser Kampagne geernteten Passwörtern.