BOSTON / LONDON (IT BOLTWISE) – Sicherheitsbehörden warnen vor einer koordinierten Spionagekampagne gegen E-Mail-Umgebungen mit der Software Zimbra. Laut Analyse ist für den Angriff keine Interaktion nötig: Das reine Öffnen oder Vorschauen einer Nachricht reicht aus, um einen Zero-Click-Exploit auszulösen. Im Fokus stehen dabei nicht nur E-Mail-Inhalte, sondern auch Token für laufende Sessions und Elemente der Zwei-Faktor-Authentifizierung. Besonders kritisch: Die Kampagne nutzt mehrere bekannte und bereits gepatchte Schwachstellen, wodurch Unternehmen bei Verzögerungen weiterhin Angriffsfläche bieten.
Die aktuelle Warnung vor der Gruppe „Laundry Bear“ macht vor allem eines deutlich: Bei E-Mail-Sicherheit geht es längst nicht mehr nur um Phishing, also das Erzeugen von Benutzerinteraktion, sondern zunehmend um kompromittierende Exploit-Ketten, die sich wie ein Bestandteil der normalen Postfachnutzung verhalten. Die beteiligten Behörden nennen als zentralen Hebel gezielt ausnutzbare Sicherheitslücken in der weit verbreiteten E-Mail-Software Zimbra. Die Veröffentlichung der Koordination wird mit dem 23. Juli 2026 datiert, begleitet von einer technischen Einordnung, die zeigt, wie aggressiv die Angreifer vorgehen, sobald eine verwundbare Version im Betrieb bleibt.
Der Kern des Angriffsmechanismus zielt auf einen Zero-Click-Ansatz ab: In der Beschreibung reicht das bloße Öffnen oder sogar nur das Vorschauen einer E-Mail aus, um den Exploit zu starten. Das ist sicherheitstechnisch besonders anspruchsvoll, weil klassische Schutzmaßnahmen wie „Benutzer soll keinen Anhang öffnen“ hier nicht ausreichen. Im Kern injiziert der Angriff einen JavaScript-Code, der anschließend Informationen aus dem System extrahieren kann. Für die IT-Verantwortlichen bedeutet das eine Verschiebung der Risikobetrachtung weg vom Nutzerverhalten hin zur Exponierung des Client- und Browserpfads, also genau dort, wo Zimbra-Webfunktionen und Session-Kontexte typischerweise ohnehin stark genutzt werden.
Brisant sind nicht nur die „üblichen“ Beuteobjekte, sondern vor allem der Umfang der Daten, die sich nach dem Einbruch in einem Rutsch abziehen lassen. In der Analyse ist von vollständigen E-Mail-Archiven der letzten 90 Tage die Rede, ergänzt um Suchverläufe, globale Adressbücher sowie Zugangsdaten. Entscheidend für den Langzeit-Impact sind jedoch die Token: Genannt werden Session-Token, CSRF-Token sowie Backup-Codes für die Zwei-Faktor-Authentifizierung. Das verschiebt den Angriff von einem kurzfristigen Datendiebstahl zu einem Mittel, das die Angreifer dauerhaft in die Konten zurückbringt, ohne dass Passwortwechsel oder das bloße erneute Anstoßen eines 2FA-Prozesses den Schaden zwangsläufig sofort begrenzen. Wenn ein Angreifer Token und Wiederherstellungsfaktoren besitzt, bleibt selbst ein „Neuanmeldung“-Fenster oft nicht geschlossen, sondern wird zur Übergabe der nächsten Zugriffsstufe.
Technisch ordnen die beschriebenen Untersuchungen die Kampagne auch über Infrastruktur- und Steuerungselemente ein. In diesem Zusammenhang ist von neun spezifischen Kommando- und Kontroll-Servern (C2) die Rede, die zusammen mit Domains zur Kampagne in Verbindung gebracht wurden. Gleichzeitig wird beobachtet, dass die Gruppe KI-gestützte Verfahren einsetzt, um Exploit-Codes zu entwickeln oder anzupassen. Das ist weniger als einzelne „Zauberformel“ zu verstehen, sondern als Hinweis auf einen Trend: KI kann dabei helfen, schnellere Code-Iterationen, Variantenbildung und zielgerichtete Anpassungen an Umgebungen zu unterstützen. Für Teams in der Enterprise-Software-Betriebspraxis heißt das: Patch-Management und Erkennung müssen Schritt halten, weil Angreifer nicht nur einmal „testen“, sondern offenbar mit dynamischer Weiterentwicklung rechnen.
Der Zeitablauf der Schwachstellen macht die Lage zusätzlich unbequem. Genannt wird die Sicherheitslücke CVE-2025-66376, die ursprünglich im Januar 2026 veröffentlicht wurde. Bereits im November 2025 standen demnach Patches in den Versionen 10.0.18 und 10.1.13 bereit, während erst am 22. Juli 2026 ein weiteres Sicherheitsupdate für 10.1.20 erschien, das insgesamt neun Schwachstellen schließt – darunter auch Cross-Site-Scripting-Lücken im klassischen Web-Client. Diese Abfolge ist ein starkes Argument für regelmäßige Version-Checks und eine konsequente Durchsetzung des „Update-zu-Produktion“-Pfads. Wer Zimbra lediglich „irgendwann“ nach dem ersten Hinweis aktualisiert, bekommt spätestens mit späteren Ergänzungspatches eine neue Angriffsfläche, weil der Exploit-Vektor nicht an einem Stichtag endet.
Auch die Ausweitung des Zielraums liefert Kontext für die Dringlichkeit: Die Kampagne wird nach Erkenntnissen der Forscher seit mindestens Juli 2025 beobachtet, zunächst mit einem Schwerpunkt auf Ziele in der Ukraine. Im März 2026 habe es eine messbare Zunahme gegen ukrainische Regierungsbehörden und kritische Infrastruktur gegeben; danach verbreiterte sich das Spektrum auf NATO-Mitgliedsstaaten, Länder im Raum der Gemeinschaft Unabhängiger Staaten sowie afrikanische Staaten. Bei den betroffenen Sektoren werden unter anderem Verteidigung und Regierungsbehörden, Energie- und Transportinfrastruktur, Finanz- und Technologieunternehmen, Bildungs- und Forschungseinrichtungen sowie Medienorganisationen und Nichtregierungsorganisationen genannt. Das ist für Sicherheitsarchitekturen relevant, weil E-Mail bei all diesen Organisationen nicht nur ein Kommunikationskanal ist, sondern oft die zentrale Identity- und Prozessschaltstelle für Berechtigungen, Benachrichtigungen und Workflows.
Parallel zur technischen Analyse wird auch eine rechtliche Dimension skizziert: Die Kampagne wird mit einem russischen Unternehmen namens Yutek-NN in Verbindung gebracht. Als betroffene Person wird Denis Obrezko genannt, ein ehemaliger Mitarbeiter des russischen Inlandsgeheimdienstes FSB sowie stellvertretender Direktor bei Yutek-NN. Obrezko sei in Thailand festgenommen worden und warte derzeit in Boston auf seinen Prozess. Solche Angaben sind zwar für die unmittelbare Incident-Response nicht operativ, signalisieren aber, dass Behörden die Kampagne als strukturiertes Vorgehen bewerten und nicht als Einzelfall. Für Unternehmen zählt daraus vor allem das Signal: Nachholende Maßnahmen werden später schwerer zu begründen sein, wenn Patches bereits länger existieren.
Was folgt daraus für die Praxis? Die Sicherheitsbehörden appellieren ausdrücklich, verwundbare Zimbra-Versionen sofort zu patchen. Darüber hinaus wird empfohlen, Passkeys einzuführen und die Account-Logs zu überwachen – konkret mit Blick auf unübliche Aktivitäten der letzten 90 Tage, passend zu dem Zeitraum, der als relevanter Datenabgriff beschrieben wird. In diesem Kontext wird klar, warum Token-Diebstahl so gefährlich ist: Reine Passwort- oder 2FA-„Best Practices“ helfen nur dann, wenn die Sicherheitsfaktoren nicht bereits über Session- und Backup-Codes neutralisiert wurden. Passkeys können als modernes Authentifizierungsmodell die Angriffspunkte für Phishing und wiederverwendbare Geheimnisse reduzieren, während Log-Überwachung Muster erkennt, die nach Tokenmissbrauch entstehen (etwa untypische Zugriffe, schnelle Folgeaktionen oder neue Session-Herkünfte). Die zentrale Frage ist deshalb weniger, ob weitere Angriffe folgen, sondern ob Organisationen die Warnung mit konkreten technischen Schritten verbinden, bevor sich der nächste Vorfall im Monitoring abzeichnet.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Zimbra-„Laundry Bear“: Zero-Click-Spyware mit gestohlenen Session- und 2FA-Token" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Zimbra-„Laundry Bear“: Zero-Click-Spyware mit gestohlenen Session- und 2FA-Token" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Zimbra-„Laundry Bear“: Zero-Click-Spyware mit gestohlenen Session- und 2FA-Token« bei Google Deutschland suchen, bei Bing oder Google News!