Umfangreiche Cyberspionage-Kampagne unter Ausnutzung einer Zimbra-Schwachstelle

Sicherheitsexperten der Firma Proofpoint haben Details zu einer großangelegten Cyberspionage-Kampagne enthüllt, die russische Hackergruppen über mehr als ein Jahr hinweg führten. Im Zentrum des Vorfalls stand eine kritische Sicherheitslücke in der beliebten E-Mail-Plattform Zimbra, die es Angreifern ermöglichte, auf vertrauliche Informationen zuzugreifen, ohne dass das Opfer aktiv handeln musste.

Zu den Hauptzielen der Angriffe gehörten militärische Behörden und staatliche Einrichtungen von NATO-Ländern sowie Schlüsselorganisationen in der Ukraine. Besonders konzentrierten sich die Hacker auf Unternehmen der Rüstungsindustrie, um strategisch wichtige Daten zu stehlen.

Die „Half-Click“-Technologie: Infektion ohne Benutzerinteraktion

Die Einzigartigkeit der verwendeten Methode liegt in ihrer Effektivität und Unsichtbarkeit. Experten klassifizierten den Angriff als Half-Click-Exploit. Das bedeutet, dass das Opfer für eine erfolgreiche Infizierung des Systems keine aktiven Handlungen vornehmen musste: keine Links anklicken, keine Anhänge öffnen und keine Dateien herunterladen.

Der Angriff erfolgte über eine Schwachstelle für Cross-Site-Scripting (XSS) im Webinterface von Zimbra. Es reichte aus, dass der Benutzer eine eingehende E-Mail öffnete und den Inhalt ansah, damit der schädliche Code aktiviert wurde und den Hackern vollen Zugriff auf den Computer gewährte.

Details zur Schwachstelle und Reaktion der Entwickler

Das Sicherheitsproblem erhielt die offizielle Identifikationsnummer CVE-2025-66376 und eine Schwerebewertung von 7,2 von 10 Punkten, was als hohes Risiko eingestuft wird. Obwohl die Entwickler im November 2025 ein Update für das System veröffentlichten, nutzten russische Gruppen diese Lücke lange vor der Veröffentlichung des offiziellen Patches aus.

Analysten stellen fest, dass die Schwachstelle über einen langen Zeitraum von verschiedenen Hackergruppen ausgenutzt wurde. Im Rahmen der untersuchten Kampagne wurde jedoch die Aktivität einer spezifischen Gruppe namens TA488 registriert, die in der Cybersicherheitsgemeinschaft auch unter den Pseudonymen Laundry Bear und Void Blizzard bekannt ist.

Arbeitsmethoden und Zerstörung der Infrastruktur

Nach dem erfolgreichen Eindringen in das Netzwerk des Opfers installierten Hacker von TA488 Backdoors, um einen dauerhaften Zugriff zu sichern, und begannen mit dem systematischen Sammeln von Informationen. Die Regelmäßigkeit der Angriffe auf staatliche Einrichtungen deutet auf eine langfristige Planung und eine hohe Organisationsstruktur der Gruppe hin.

Die Aktivität der Gruppe TA488 hat jedoch wahrscheinlich aufgehört. Sicherheitsexperten haben seit Februar 2026 keine Aktionen der Hacker mehr registriert. Das Verschwinden der Gruppe fiel mit der Veröffentlichung einer detaillierten Analyse ihrer Infrastruktur und Arbeitsmethoden durch die Firma Seqrite zusammen.

Die veröffentlichte Analyse war so umfassend, dass sie die russischen Hacker zwang, ihre Server und Kommunikationsnetze vollständig zu zerstören und ihre Aktivitäten einzustellen, um einer weiteren Identifizierung und Verfolgung zu entgehen.