Depuis juillet 2025, un groupe soutenu par l’État russe a exploité une faille zero-day dans Zimbra Collaboration Suite pour dérober des données sensibles auprès de gouvernements et d’organisations commerciales, ont averti jeudi les autorités américaines et les responsables de cybersécurité d’une quinzaine de pays dans un avis conjoint.
## Qui est le groupe derrière les attaques
Les autorités attribuent la campagne à Laundry Bear, également nommé Void Blizzard, un acteur actif depuis au moins 2024. Selon l’avis, l’activité, qualifiée de “covert and persistent”, ne montre aucun signe d’extorsion financière, ce qui oriente presque certainement vers des opérations d’espionnage soutenues par l’État russe. Les cibles identifiées appartiennent aux secteurs de la défense, de l’éducation, de l’énergie, des forces de l’ordre, des médias, de la finance, des transports et des technologies.
## Exploit Zimbra : fonctionnement et données siphonnées
La campagne tire parti d’une vulnérabilité (CVE-2025-66376) dans Zimbra. L’exploit est particulièrement dangereux car il ne requiert “qu’une visualisation — pas de clic”, et permet aux attaquants de récupérer, pour les 90 jours précédant l’intrusion, les courriels, le mot de passe de compte, l’historique de recherche, l’annuaire de l’organisation, des jetons d’authentification à deux facteurs et d’autres mots de passe nouvellement créés. Les opérateurs ont aussi utilisé une charge utile JavaScript personnalisée, distribuée via des courriels de phishing, et développé une capacité d’extraction et d’agrégation des données baptisée “beehive”, que les autorités estiment susceptible d’être adaptée à d’autres vulnérabilités.
## Chronologie et réponse des éditeurs et États
Les attaques ont commencé en juillet 2025 et la correction du défaut n’a été publiée qu’en novembre 2025, soit environ cinq mois après le lancement de la campagne. Malgré la publication du correctif, les autorités indiquent que Laundry Bear continue d’exploiter les instances de Zimbra qui n’ont pas été mises à jour. L’avis conjoint a été émis par les États-Unis, l’Australie, le Canada, la Nouvelle-Zélande, le Royaume-Uni, la République tchèque, le Danemark, l’Estonie, la Finlande, la France, l’Italie, la Moldavie, les Pays-Bas, la Pologne, l’Espagne et la Suède.
## Implications pour la sécurité et recommandations
Les autorités soulignent que la gravité moyenne attribuée à la vulnérabilité (score 6.1) illustre la difficulté pour les défenseurs de prioriser les correctifs en se basant uniquement sur les notes de sévérité. Elles précisent que la campagne semble ciblée et manuelle : les opérateurs identifieraient des organisations exposant des infrastructures publiques, puis compileraient des listes d’adresses pour lancer des emails de phishing destinés à livrer l’exploit.
Les responsables ont partagé des indicateurs de compromission et des mesures d’atténuation, et ont appelé les organisations à appliquer les correctifs disponibles et à examiner les journaux et configurations des instances Zimbra afin de détecter toute activité suspecte.
Pour les équipes de sécurité, les actions immédiates consistent donc à vérifier le déploiement des correctifs pour CVE-2025-66376, analyser les IOCs fournis par l’avis, renforcer la surveillance des accès aux boîtes mail et vérifier l’intégrité des mécanismes d’authentification à deux facteurs.
L’affaire
