È iniziato almeno a luglio 2025 lo sfruttamento di una vulnerabilità zero-day nei server webmail Zimbra Collaboration Suite per sottrarre email, credenziali e rubriche aziendali da parte del threat actor russo TA488, meglio noto come Void Blizzard e Laundry Bear. Lo hanno rilevato Proofpoint e un gruppo di venti agenzie governative guidate da NSA e FBI, che il 22 luglio 2026 hanno pubblicato una nota congiunta per allertare il pubblico. La falla in questione è monitorata con la sigla CVE-2025-66376, è rimasta senza patch per oltre quattro mesi prima di essere corretta a novembre 2025, e proprio in questo intervallo il gruppo ha potuto colpire indisturbato enti governativi e commerciali in Nord America ed Europa.

Prima di maggio 2025, il gruppo si era affidato a tecniche di accesso relativamente grezze, come password spraying, phishing classico e adversary in the middle tramite una versione modificata del toolkit open source Evilginx che permette di intercettare credenziali e cookie di sessione su finte pagine di login a portali istituzionali. Fra questi figurava una copia contraffatta del sito di registrazione per l'European Defence and Security Summit.

Successivamente il gruppo ha alzato il livello tecnico grazie allo sviluppo di un’arma proprietaria che Proofpoint ha ribattezzato ZimReaper. È l'uso di un exploit zero-day a segnare il salto di sofisticazione definitivo, e a permetterlo è stato l’uso dell’AI, di cui gli analisti governativi hanno notano tracce all’interno del codice del framework di raccolta dati.

Ricognizione e preparazione dell'infrastruttura

Prima di colpire, TA488 individua le organizzazioni con infrastruttura Zimbra esposta pubblicamente tramite port scanning e dataset di fingerprinting acquistati da fornitori commerciali. Una volta identificato il bersaglio, compone le liste di indirizzi email dei singoli dipendenti attingendo a dataset commerciali, fonti aperte oppure a dati già esfiltrati in campagne precedenti. Gli analisti reputano che il volume delle vittime sia contenuto rispetto ad altre operazioni russe su larga scala perché questa fase viene eseguita manualmente.

Sul fronte dell'infrastruttura, il gruppo acquista server privati virtuali da provider diversi e si connette a questi server quasi sempre tramite Mullvad VPN per mascherare la propria identità. Ogni server ospita, tramite Docker, il framework di raccolta dati Flowerbed, composto da quattro container: Catcher, che funge da server DNS e HTTP per ricevere i dati esfiltrati; Certbot, che genera automaticamente certificati Let's Encrypt tramite le DNS challenge di Cloudflare. Nginx funge da reverse proxy HTTPS e scarta ogni connessione il cui Server Name Indicator non contenga la stringa attesa; infine Gardener è un semplice controllo per verificare che Catcher funzioni correttamente. L'infrastruttura viene tipicamente dismessa dopo 7-60 giorni per ridurre la superficie di rilevamento.

L'accesso iniziale: l'exploit half-click

Il punto di svolta della campagna è l'exploit, che richiede soltanto l'apertura o l'anteprima dell'email nel client webmail Zimbra vulnerabile; per questo motivo Proofpoint colloca la tecnica nella categoria degli half-click exploit, già osservata in precedenza da gruppi come TA422, TA473 e TA445 contro altre piattaforme webmail come Roundcube.

Il meccanismo tecnico sfrutta una debolezza nel sanitizzatore HTML lato client di Zimbra, classificata come cross-site scripting. Per capire il trucco bisogna partire da come Zimbra protegge la posta in arrivo. Ogni email che arriva nel client webmail viene passata a un filtro di sicurezza (sanitizzatore), che ha il compito di eliminare qualsiasi codice eseguibile nascosto nel testo prima di mostrarlo all'utente. In questo modo la semplice apertura di un'email non può avviare un programma. TA488 aggira questo controllo: invece di scrivere il codice malevolo in un unico blocco che il filtro riconoscerebbe e bloccherebbe subito, lo spezzetta in tanti frammenti innocui, intervallati da comandi CSS del tutto legittimi chiamati @import (l’istruzione che i siti web usano per caricare fogli di stile grafici). Il sanitizzatore non riconosce nessuno dei singoli frammenti come pericoloso e lascia passare tutto; il browser della vittima, però, quando ricompone la pagina per visualizzarla, incolla i frammenti nell'ordine giusto e ottiene di nuovo il codice completo, che a quel punto viene eseguito normalmente. Questa tecnica di spezzettamento è nota come tag-splitting.

Il codice così ricostruito è nascosto dentro un'immagine SVG, inserita in una parte della pagina invisibile all'utente. Per definizione, le immagini SVG hanno un attributo chiamato onload, pensato per far partire automaticamente una piccola istruzione non appena l'immagine termina il caricamento; TA488 sfrutta questo meccanismo per far scattare il proprio codice nel momento stesso in cui l'email viene aperta, senza che la vittima debba cliccare su nulla.

Il codice malevolo vero e proprio non compare in chiaro nemmeno a questo punto: è scritto in Base64, un sistema che trasforma qualsiasi testo o programma in una sequenza di lettere e numeri, che di solito è usato per trasportare dati in modo sicuro attraverso canali che accettano solo caratteri semplici. In questo caso serve a rendere il payload meno riconoscibile a prima vista. Da novembre 2025 TA488 ha aggiunto un ulteriore livello di protezione, mediante la cifratura del payload con XOR, che è un metodo di cifratura semplice ma efficace che consiste nel confrontare il codice con una chiave segreta di dieci caratteri, che cambia a ogni campagna. Nello stesso periodo, le agenzie hanno inoltre osservato TA488 inviare le email malevole anche da caselle di posta precedentemente compromesse, incluse quelle di vittime di campagne precedenti; l'uso di mittenti legittimi rende le esche più credibili e complica il lavoro dei filtri anti-phishing basati sulla reputazione del mittente.

Persistenza e furto di credenziali

Una volta eseguito nel browser della vittima, lo script tenta innanzitutto di identificare l'indirizzo email dell'utente. Il passo successivo consiste nell'iniettare due elementi HTML invisibili che imitano un modulo di login, nel tentativo di intercettare la password salvata nel browser tramite la funzione di completamento automatico.

Per garantirsi un accesso persistente bisogna aggirare l’ostacolo dell’autenticazione a due fattori. Prima di tutto lo script invia una richiesta in linguaggio SOAP (lo stesso con cui il client webmail comunica con il server Zimbra) per attivare il protocollo IMAP (che Zimbra non protegge con l'autenticazione a due fattori) sull'account per leggere la posta da programmi esterni. Subito dopo crea la nuova Application Passcode "ZimbraWeb", perché il client webmail nativo supporta già il 2FA e non ha bisogno di generarsene una da solo. Nella stessa fase il malware sottrae anche gli scratch code di riserva del 2FA, ottenendo così un secondo modo per bypassare l'autenticazione anche se la vittima cambia la password.

Raccolta ed esfiltrazione dei dati

Dopo aver garantito la persistenza, lo script passa alla raccolta sistematica dei dati. Viene ricostruita la rubrica aziendale interrogando il server con ogni combinazione possibile di caratteri alfanumerici (una vera e propria tecnica di brute force). In parallelo, lo script scarica le email ricevute o inviate negli ultimi novanta giorni e poi giorno per giorno, escludendo quelle marcate come posta indesiderata, e salva nel localStorage del browser un riferimento a ogni giornata già raccolta, così da evitare duplicazioni in caso di nuova esecuzione dello stesso script sullo stesso dispositivo.

L'esfiltrazione avviene su due canali paralleli. Le informazioni più piccole, come indirizzo email, versione di Zimbra, codici 2FA e password intercettate, vengono inviate tramite query DNS con codifica Base32, sfruttando la creazione di un'immagine. I dati più corposi, comprese le email vere e proprie compresse in formato GZIP, viaggiano invece via HTTPS verso lo stesso server, protetti da certificati Let's Encrypt che permettono al gruppo di presentare connessioni cifrate e apparentemente legittime. Sul lato server, il container Catcher registra ogni richiesta ricevuta salvandola prima in una cartella temporanea e poi, una volta completata, in una cartella pronta per il trasferimento; un processo automatizzato stabilisce ogni sessanta secondi una connessione SSH verso l'infrastruttura non pubblica del gruppo per prelevare i dati raccolti, mentre un comando pianificato cancella ogni ora i file più vecchi di due giorni.

Infrastruttura e attribuzione

Le agenzie hanno pubblicato un elenco di nove domini utilizzati come comando e controllo tra luglio 2025 e marzo 2026. Sul piano attributivo, le agenzie governative hanno confermato il coinvolgimento di Void Blizzard, che risulta come contractor privato al servizio dell'intelligence russa. Il gruppo condivide infatti una serie di strumenti con altri cluster legati al GRU, oltre l'abitudine di colpire prima le entità governative ucraine e successivamente bersagli in ambito difesa, energia e ricerca scientifica in Nord America ed Europa.

Da febbraio 2026 non risultano attività riconducibili al gruppo, il che rende probabile la dismissione dell'infrastruttura per proteggere la capacità offensiva in vista di un possibile riutilizzo futuro.

La misura di mitigazione consigliata consiste nel aggiornare immediatamente Zimbra Collaboration Suite alle versioni 10.1.13 o 10.0.18, che includono la patch per CVE-2025-66376. Dove l'aggiornamento non sia immediatamente praticabile, suggeriscono di far usare ai dipendenti client di posta alternativi ed evitare il client webmail classico. Tra le altre misure indicate figurano l'adozione di servizi di autenticazione di terze parti basati su passkey per ridurre l'efficacia del furto di password tramite completamento automatico, il monitoraggio del traffico di rete verso provider VPS non abituali per l'organizzazione, l'attenzione a query DNS ripetute verso sottodomini apparentemente casuali e la verifica dei log di Zimbra alla ricerca di volumi anomali di richieste SearchGalRequest o di Application Passcode denominate ZimbraWeb. Le aziende che individuano segnali di compromissione dovrebbero revocare tutte le passcode applicative e gli scratch code 2FA esistenti e imporre il cambio delle password a tutto il personale, considerando che anche le credenziali salvate nei password manager potrebbero essere state esfiltrate.