俄罗斯国家支持的网络行为者针对 Zimbra Collaboration Suite 用户发起钓鱼战役

来源机构：CISA（联合 NSA、FBI、多国情报与安全机构）　|　原文：Russian State-Supported Cyber Actors Conduct Phishing Campaign Targeting Users of Zimbra Collaboration Suite　|　原文发布：2026-07-23　|　页面性质：中文翻译与摘录（非原创综述）

执行摘要

俄罗斯国家支持的网络行为者针对使用 Zimbra Collaboration Suite（ZCS）的西方组织机构发起恶意战役，利用一种被称为 "beehive"（或称 "Ulej"）的零点击漏洞利用手段窃取邮件。英国国家网络安全中心（NCSC，隶属 GCHQ）与 15 个国家的网络安全机构共同曝光了高级持续性威胁组织 LAUNDRY BEAR 的活动——该组织专门隐蔽获取邮件数据。

自 2025 年 7 月起，LAUNDRY BEAR 已成功针对使用 Zimbra Collaboration Suite（ZCS）软件的组织机构实施攻击并窃取敏感邮件信息。美国境内遭定向攻击的行业包括国防、政府、教育、能源、执法、媒体、非政府组织（NGO）与科技行业。

在本联合公告（Joint Advisory）中，NCSC 及各伙伴机构警告：LAUNDRY BEAR 的持续性战役具有间谍活动特征，且几乎可以确定是在俄罗斯国家支持下实施的。与传统钓鱼战役不同，"beehive" 使威胁行为者无需用户任何输入即可广泛、持续地访问邮件。受害者无需点击链接或打开文件，只需在存在漏洞的 ZCS 网页邮件服务中"查看"一封恶意邮件即会遭到入侵。

该战役利用 Zimbra Classic UI 中的存储型跨站脚本漏洞 CVE-2025-66376（CWE-79，CVSS 3.1 基础评分 7.2 HIGH，CNA/MITRE 评分；NVD 另评 6.1 MEDIUM）。Zimbra 已于 2025 年 11 月 6 日发布修复版本 10.0.18 与 10.1.13；CISA 于 2026 年 3 月 18 日将该漏洞纳入 Known Exploited Vulnerabilities（KEV）目录。使用 ZCS 的组织机构被敦促遵循缓解建议，包括立即修补漏洞并提升网络监控能力。

各网络机构警示，"beehive" 很可能被改造以利用其他漏洞。随着更多组织机构更新其 ZCS 软件，该组织极有可能转而瞄准西方组织机构使用的其他邮件系统。

目标行业与受影响范围

美国境内遭定向攻击的行业（依据官方公告）包括：

• 国防（defence）
• 政府（government）
• 教育（education）
• 能源（energy）
• 执法（law enforcement）
• 媒体（media）
• 非政府组织（NGOs）
• 科技（technology）

官方技术分析与公开声明指出，这些恶意网络手段曾在针对北约成员之前，于乌克兰受害者身上进行了广泛试验。公告强调，LAUNDRY BEAR 的战术具有机会主义特征——几乎可以肯定其会针对任何仍运行未修补 Zimbra 部署、且具有潜在情报价值的目标。

技术细节："视图型/零点击"（zero-click）战役

漏洞。 CVE-2025-66376：Zimbra Collaboration（ZCS）10 版本中，低于 10.0.18 的 10.0.x 分支与低于 10.1.13 的 10.1.x 分支，因对 HTML 电子邮件中的级联样式表（CSS）@import 指令中和不充分，导致 Classic UI 存在存储型 XSS（CWE-79：网页生成过程中输入中和不当 / 跨站脚本）。

触发方式。 攻击者向目标发送经过构造的 HTML 电子邮件。当该邮件在存在漏洞的 Zimbra 网页邮件界面中被"预览"或"查看"时，注入的脚本在受害者已认证会话的上下文中执行——无需点击、无需打开附件、无需任何其他操作。

工具 "Ulej"（beehive）。 LAUNDRY BEAR 行动者部署了公告中称为 "Ulej" 的定制工具套件。一旦被触发，Ulej 系统性地从被入侵邮箱中提取最多 90 天的历史邮件内容，并从全局地址列表（Global Address List，GAL）中收集条目，同时捕获身份验证令牌/凭据与多因素认证（2FA）恢复码。该工具面向安静、持续的收集，而非一次性高噪声外泄，反映了情报收集（而非破坏）的优先级。

持久化。 被捕获的凭据、2FA 令牌与组织目录构成可在后续行动中复用的"钥匙"：有效登录在日志中与普通员工无异，使入侵长期不被察觉。因此该战役能在补丁发布前持续数月未被发现。

关于 AI 的说明。 官方技术分析指出，AI 在本行动简易代码库的开发中发挥了一定作用；这与近期五眼（Five Eyes）网络安全机构呼吁领导者应对 AI 加速网络威胁速度、规模与复杂度的态势一致。

缓解措施

使用 ZCS 的组织机构应采取以下行动：

• 立即升级 ZCS。 将 Zimbra Collaboration Suite 升级至已修复版本（10.0.18 / 10.1.13 或更高）。该补丁应作为优先事项，不应等待常规维护窗口。需注意的是：补丁修复漏洞，但不会撤销恶意程序已获取的凭据。
• 持续监控邮件系统。 审查过去 90 天的 Zimbra 访问日志，寻找 Ulej 式活动迹象：批量 API 访问模式、非工作时间的重复邮箱读取、来自陌生 IP 段的访问、异常的全局地址列表（GAL）查询。
• 启用多因素认证（MFA）。 在尚未配置的 Zimbra 实例上启用 MFA。
• 限制外部访问。 在运维可行的前提下，将外部 Zimbra 网页邮件访问限制在 VPN 或已知 IP 段范围内。
• 视为已泄露并轮换凭据。 若机构曾运行未修补的 Zimbra 实例，应将过去 90 天的邮件内容视为可能已泄露，评估由此产生的二次风险，并轮换可能已暴露的密码与 2FA 令牌。
• 注册预警服务（英国机构建议）。 NCSC 建议所有英国组织机构注册免费的 Early Warning 服务，以获取恶意网络活动通知。

各机构提醒：随着更多组织机构更新其 ZCS 软件，LAUNDRY BEAR 可能停止利用本漏洞的当前战役；但基于本战役及以往战役的成功，该组织极可能继续瞄准 ZCS 及西方组织机构使用的其他邮件系统。建议组织机构定期更新邮件服务软件，并持续监控其邮件系统与邮件中的恶意活动。

入侵指标（IOC）

官方联合公告以 STIX 格式分发入侵指标，提供可下载列表：AA26-204A.stix.xml（STIX XML）与 AA26-204A.stix。公告同时包含：若组织机构发现所列 IOC 存在时应当实施的针对性补救措施（remediations）。

缺口说明（Gap）： 本流水线在本轮抓取中无法从受限源（CISA 公告页与 NSA PDF 镜像均被 Akamai CDN 拦截，返回 "Access Denied"）提取具体的 IOC 取值（IP、域名、邮箱、文件哈希、URL）。防御者应从 CISA 官方公告页直接下载上述 STIX 文件获取完整指标。本 JSON 不编造任何具体 IOC 值。

联署（Co-sealing）机构

本联合网络安全公告由以下机构共同发布/联署：

• NSA（美国国家安全局）
• FBI（美国联邦调查局）
• MIVD（荷兰军事情报与安全局）
• AIVD（荷兰情报与安全总局）
• CISA（美国网络与基础设施安全局）
• DCSA（美国国防反间谍与安全局）
• DC3（美国网络犯罪中心）
• 美国财政部（U.S. Department of the Treasury）
• NCIS（美国海军犯罪调查局）
• ASD ACSC（澳大利亚信号局 澳大利亚网络安全中心）
• CSE（加拿大通信安全局）
• NCSC-NZ（新西兰国家网络安全中心）
• 英国 NCSC（英国国家网络安全中心）
• NUKIB（捷克国家网络与信息安全办公室）
• DDIS（丹麦国防情报局）
• EFIS / FDI（爱沙尼亚外国情报局 / 国防情报局）
• SUPO（芬兰安全情报局）
• DGSI / ANSSI（法国国内安全总局 / 国家信息系统安全局）
• AISE / AISI（意大利对外安全情报局 / 国内安全情报局）
• SIS RM（摩尔多瓦情报与安全保障局）
• AW / SKW（波兰军事情报局 / 反情报局）
• CNI（西班牙国家情报中心）
• NCSC-SE（瑞典国家网络安全中心）

上述范围对应官方表述的"15 国机构 + 美国（含英国 NCSC 共 16 国）"联署。

参考来源： CVE-2025-66376（cve.org / nvd.nist.gov）；Zimbra 安全公告与 10.0.18、10.1.13 版本发布说明（wiki.zimbra.com）；CISA Known Exploited Vulnerabilities 目录。

常见问题（答案均取自上述人类原文章节）

什么是"视图型/零点击"（view-based / zero-click）漏洞？为什么常规钓鱼防护会失效？

CVE-2025-66376 是 Zimbra Classic UI 的存储型 XSS。攻击者发送构造的 HTML 邮件，受害者只需在存在漏洞的 ZCS 网页邮件中"查看/预览"该邮件，注入脚本即在已认证会话中执行，无需点击链接或打开附件。由于无需用户交互，常规的用户安全意识培训、钓鱼模拟与邮件安全网关作为本战役的主要防御手段基本失效；未修补的 Zimbra 实例无论员工行为如何均处于危险中。

我的组织使用 Zimbra，如何判断受影响并处置？

检查 ZCS 版本：10.0.x 低于 10.0.18、或 10.1.x 低于 10.1.13 即为受影响。应立即升级至已修复版本，并将审计过去 90 天访问日志，排查批量 API 访问、非工作时间邮箱读取、陌生 IP 访问与异常 GAL 查询等 Ulej 式活动。同时在可行范围内启用 MFA、将外部网页邮件访问限制至 VPN/已知 IP 段。

即使打了补丁，已经泄露的凭据怎么办？

补丁修复漏洞，但不会撤销恶意程序已获取的凭据。若曾运行未修补实例，应将过去 90 天邮件视为可能已泄露，并轮换可能暴露的密码与 2FA 令牌；被捕获的令牌与目录可在后续行动中复用，需作为"身份材料"而非单纯邮件内容来评估二次风险。

公告中的入侵指标（IOC）在哪里获取？

公告以 STIX 格式提供完整 IOC，可下载文件为 AA26-204A.stix.xml（STIX XML）与 AA26-204A.stix，并附带发现 IOC 时的针对性补救措施。本轮流水线因官方源（CISA 公告页与 NSA PDF 镜像）被 CDN 拦截无法提取具体指标取值，请从 CISA 官方公告页直接下载上述 STIX 文件。