Uma sofisticada campanha de espionagem cibernética colocou em alerta governos, empresas e instituições de pesquisa ao redor do mundo. Um grupo de ameaças ligado ao Estado russo explorou uma vulnerabilidade zero-day no Zimbra para comprometer servidores de e-mail e obter acesso a informações altamente confidenciais.
O ataque chamou a atenção de importantes órgãos internacionais, como NSA, CISA, Proofpoint e Unit 42 da Palo Alto Networks, que publicaram análises detalhadas sobre a campanha e alertaram que organizações permaneceram vulneráveis durante meses antes da disponibilização da correção.
Mais preocupante ainda é que bastava a vítima visualizar um e-mail malicioso para que o código fosse executado automaticamente, sem necessidade de clicar em links ou baixar anexos.
Neste artigo você entenderá como funciona essa ameaça, quais versões do Zimbra foram afetadas e quais medidas devem ser adotadas imediatamente para fortalecer a segurança da informação.
O que é a vulnerabilidade zero-day no Zimbra?
Uma vulnerabilidade zero-day é uma falha desconhecida pelo fabricante no momento em que começa a ser explorada pelos criminosos.
No caso do Zimbra Collaboration, a falha recebeu o identificador CVE-2025-66376 e consiste em uma vulnerabilidade de Cross-Site Scripting (XSS) armazenado presente no Cliente Web Clássico.
O ataque explorava mensagens HTML cuidadosamente construídas para executar JavaScript diretamente dentro da sessão autenticada do usuário.
Na prática, isso significa que:
- Não era necessário clicar em links;
- Não era necessário abrir anexos;
- Apenas visualizar a mensagem já iniciava a infecção.
Esse comportamento levou diversos pesquisadores a classificarem o ataque como uma exploração zero-click, aumentando significativamente sua periculosidade.
Como funcionava o ataque?
Os invasores enviavam mensagens HTML contendo códigos ocultos.
Esses códigos utilizavam técnicas avançadas para contornar o mecanismo de sanitização do Zimbra.
Entre elas estavam:
Fragmentação de Tags (Tag Splitting)
Os criminosos dividiam o código HTML utilizando:
- diretivas CSS falsas (@import);
- comentários HTML;
- elementos ocultos;
- SVG com evento onload.
Após o processamento da página pelo navegador, todas essas partes eram reunidas automaticamente, permitindo a execução do JavaScript malicioso.
Como o código era executado dentro da sessão autenticada do usuário, o malware passava a possuir praticamente os mesmos privilégios do proprietário da conta.
Informações roubadas pelos criminosos
Depois de explorar a vulnerabilidade zero-day no Zimbra, o malware conhecido como ZimReaper iniciava uma extensa coleta de informações.
Entre os dados comprometidos estavam:
| Informação roubada | Impacto |
|---|---|
| Últimos 90 dias de e-mails | Vazamento de informações confidenciais |
| Diretório Global (GAL) | Enumeração completa dos usuários |
| Senhas salvas no navegador | Comprometimento de outras contas |
| Token CSRF | Controle da sessão autenticada |
| Códigos de autenticação 2FA | Contorno da autenticação multifator |
| Versão instalada do Zimbra | Reconhecimento do ambiente |
Além disso, o malware gerava senhas específicas para aplicativos, permitindo acesso via IMAP, POP3 e SMTP mesmo após alterações na senha principal da vítima.
Organizações afetadas
Segundo os pesquisadores, a campanha teve como alvo diversos setores estratégicos.
Entre eles destacam-se:
Governo
Diversas instituições governamentais ocidentais foram alvo da campanha.
Defesa
Empresas da indústria militar e organizações ligadas à OTAN estiveram entre as principais vítimas.
Setor Financeiro
Instituições financeiras também foram comprometidas.
Pesquisa Científica
Laboratórios e centros de pesquisa sofreram tentativas de espionagem.
Infraestrutura crítica
Foram identificados ataques contra:
- transporte;
- energia;
- instalações nucleares;
- órgãos públicos.
Comparativo entre exploração tradicional e exploração zero-click
| Característica | Ataque tradicional | Exploração Zero-Click no Zimbra |
|---|---|---|
| Clique da vítima | Necessário | Não |
| Download de arquivo | Normalmente necessário | Não |
| Execução automática | Rara | Sim |
| Interação do usuário | Alta | Praticamente inexistente |
| Complexidade do ataque | Média | Muito alta |
| Probabilidade de sucesso | Menor | Muito maior |
Versões vulneráveis do Zimbra
A falha afetava principalmente:
| Linha | Situação |
|---|---|
| 10.0 até 10.0.18 | Vulnerável |
| 10.1 até 10.1.13 | Vulnerável |
| 10.1.20 | Corrigida e recomendada |
Além da correção da CVE-2025-66376, as versões mais recentes eliminaram outras vulnerabilidades de XSS armazenado.
Atualizar o sistema não é suficiente
Um dos principais alertas emitidos pelos pesquisadores é que aplicar o patch não elimina o comprometimento anterior.
Isso acontece porque os invasores podiam criar credenciais permanentes dentro das contas comprometidas.
Assim, mesmo após atualizar o servidor, os criminosos poderiam continuar acessando os e-mails.
Essa é uma importante lição para qualquer estratégia de segurança da informação.
Medidas recomendadas após aplicar o patch
Especialistas recomendam uma série de verificações adicionais.
Redefinir senhas
Todas as contas suspeitas devem receber novas senhas.
Revogar sessões ativas
Todas as sessões autenticadas devem ser encerradas imediatamente.
Gerar novos códigos 2FA
Os códigos de recuperação precisam ser substituídos.
Verificar senhas específicas para aplicativos
O malware criava credenciais chamadas ZimbraWeb.
Essas senhas devem ser removidas.
Auditar logs
Os administradores devem verificar chamadas como:
- CreateAppSpecificPassword
- GetScratchCodesRequest
Esses eventos normalmente são raros em ambientes corporativos.
Monitorar consultas DNS
Como parte da exfiltração de dados, o malware enviava informações utilizando consultas DNS.
Consultas longas e incomuns para domínios externos devem ser investigadas.
Como ocorreu a exfiltração dos dados?
O malware evitava conexões HTTP tradicionais.
Em vez disso, utilizava consultas DNS para enviar pequenas partes das informações roubadas aos servidores de comando e controle (C2).
Essa técnica oferece vantagens aos atacantes:
- difícil detecção;
- tráfego aparentemente legítimo;
- bypass em diversos firewalls;
- menor geração de alertas.
Foram identificados pelo menos:
- 9 servidores C2;
- 9 domínios utilizados;
- média de permanência de 35 dias para cada infraestrutura.
Comparativo entre boas práticas de proteção
| Medida | Antes do ataque | Depois do ataque |
|---|---|---|
| Atualizar o Zimbra | Obrigatório | Obrigatório |
| Revisar contas | Recomendado | Essencial |
| Alterar senhas | Boa prática | Obrigatório |
| Revogar sessões | Opcional | Obrigatório |
| Renovar códigos 2FA | Recomendado | Obrigatório |
| Monitorar DNS | Importante | Crítico |
A campanha ainda está ativa?
As análises divergem.
A Unit 42 afirma que ainda observa tentativas de exploração contra servidores Zimbra desatualizados.
Já a Proofpoint informou não ter registrado novas atividades do grupo TA488 desde fevereiro de 2026.
Mesmo assim, NSA e CISA alertam que grupos de espionagem continuam buscando sistemas de e-mail vulneráveis e podem reutilizar técnicas semelhantes em novas campanhas.
Independentemente da atividade atual, servidores que permanecem sem atualização continuam representando um risco significativo para a segurança da informação.
Lições para administradores de TI
Esse incidente mostra que apenas aplicar atualizações não basta.
As organizações devem adotar uma abordagem de defesa em profundidade, incluindo:
- inventário completo dos ativos;
- gerenciamento contínuo de vulnerabilidades;
- autenticação multifator;
- monitoramento de logs;
- detecção de comportamento anômalo;
- auditorias periódicas;
- revisão de credenciais privilegiadas.
Também é fundamental manter políticas de resposta a incidentes bem definidas para reduzir o impacto de futuras campanhas de espionagem.
Conclusão
A exploração da vulnerabilidade zero-day no Zimbra demonstra como ataques sofisticados continuam evoluindo para contornar mecanismos tradicionais de proteção. A capacidade de executar código apenas com a visualização de um e-mail torna esse tipo de ameaça extremamente perigoso, principalmente para organizações que dependem do correio eletrônico como principal meio de comunicação.
Embora a atualização do Zimbra seja indispensável, ela representa apenas o primeiro passo. A revisão completa das contas, a revogação de credenciais comprometidas, a renovação dos códigos de autenticação de dois fatores e o monitoramento constante dos ambientes são ações igualmente importantes para fortalecer a segurança da informação.
Para empresas e órgãos públicos, o incidente reforça a necessidade de investir continuamente em gestão de vulnerabilidades, monitoramento de ameaças e treinamento das equipes de TI. Em um cenário de espionagem cibernética cada vez mais sofisticado, manter sistemas atualizados e adotar uma postura proativa é essencial para reduzir riscos e proteger informações estratégicas.
