Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Kampanie typu „half-click” to rozwinięcie klasycznych ataków phishingowych wymierzonych w użytkowników poczty elektronicznej. W takim scenariuszu ofiara nie musi świadomie klikać odnośnika ani otwierać załącznika — do uruchomienia złośliwego ładunku może wystarczyć samo wyświetlenie wiadomości w podatnym interfejsie webmail.
W analizowanej kampanii grupa TA488 wykorzystała podatność stored XSS oznaczoną jako CVE-2025-66376 w Zimbra Collaboration Suite. Luka pozwalała na wykonanie kodu JavaScript w kontekście zalogowanej sesji użytkownika, co otwierało drogę do przejęcia dostępu do skrzynki, kradzieży danych i utrzymania trwałej obecności w koncie.
W skrócie
Atakujący wykorzystywali błąd w klasycznym interfejsie Zimbra, związany z nieprawidłową sanitacją treści HTML oraz dyrektyw CSS @import w wiadomościach e-mail. Po wyświetleniu spreparowanej wiadomości w podatnym kliencie webmail uruchamiał się osadzony kod, który działał z uprawnieniami aktywnej sesji użytkownika.
- Wektor ataku: stored XSS w wiadomości e-mail.
- Warunek powodzenia: otwarcie lub nawet sam podgląd wiadomości w Classic UI.
- Skutki: kradzież sesji, eksfiltracja poczty, pozyskanie danych 2FA i trwałość przez hasło aplikacyjne.
- Podatne wersje: Zimbra 10.0 wcześniejsze niż 10.0.18 oraz 10.1 wcześniejsze niż 10.1.13.
Kontekst / historia
Ataki na platformy webmail od lat pozostają atrakcyjne dla grup APT, ponieważ umożliwiają dostęp do komunikacji organizacji bez konieczności wdrażania typowego malware na stacji końcowej. W ostatnich latach obserwowany jest wyraźny trend przechodzenia od prostego phishingu do bardziej dyskretnych kampanii wykorzystujących błędy po stronie klienta i interfejsu użytkownika.
W przypadku TA488 celem były przede wszystkim organizacje rządowe, sektor obronny oraz podmioty o znaczeniu strategicznym, w tym cele związane z Ukrainą i Stanami Zjednoczonymi. Ustalono, że podatność była aktywnie wykorzystywana przez wiele miesięcy, zanim otrzymała identyfikator CVE-2025-66376 i została załatana w wydaniach Zimbra 10.0.18 oraz 10.1.13.
Fakt, że luka trafiła do katalogu Known Exploited Vulnerabilities, podkreśla jej praktyczne znaczenie. Nie był to błąd o wyłącznie teoretycznym charakterze, lecz element realnych operacji szpiegowskich prowadzonych przeciwko wybranym organizacjom.
Analiza techniczna
Rdzeniem kampanii był stored XSS w klasycznym interfejsie Zimbra. Atakujący osadzali złośliwy kod w treści wiadomości HTML, a następnie maskowali go przy użyciu dyrektyw @import, komentarzy HTML i fragmentacji znaczników. Taka konstrukcja pozwalała ominąć mechanizmy sanitacji i doprowadzić do odtworzenia aktywnego kodu przez przeglądarkę.
Po wyrenderowaniu wiadomości uruchamiał się JavaScript działający w kontekście zalogowanej sesji użytkownika. Oznaczało to dostęp do tokenów sesyjnych, danych konta, wiadomości, katalogów adresowych i innych zasobów dostępnych z poziomu interfejsu webmail. To właśnie wykonywanie kodu „wewnątrz” legalnej sesji czyniło ten atak szczególnie niebezpiecznym i trudnym do zauważenia.
Zaobserwowany ładunek, określany jako ZimReaper, miał charakter wieloetapowy i realizował kilka celów jednocześnie:
- potwierdzał skuteczną kompromitację,
- pozyskiwał adres e-mail ofiary i informacje o środowisku,
- zbierał kody 2FA,
- odczytywał dane z mechanizmów autouzupełniania,
- tworzył hasło aplikacyjne w celu utrzymania dostępu,
- enumerował Global Address List,
- eksportował wiadomości z ostatnich około 90 dni,
- eksfiltrował dane do infrastruktury przeciwnika.
Szczególnie groźnym elementem była trwałość dostępu. Dzięki utworzeniu hasła aplikacyjnego operator mógł dalej logować się do skrzynki z użyciem standardowych protokołów pocztowych, bez potrzeby ponownego przejmowania sesji przez exploit. Dodatkowo część danych była wyprowadzana kanałem DNS, co mogło utrudniać wykrycie incydentu w środowiskach skupionych głównie na monitorowaniu ruchu HTTP i HTTPS.
Atak był też relatywnie „cichy” na poziomie endpointu. Kod wykonywał się w silniku JavaScript przeglądarki, przez co klasyczne rozwiązania EDR mogły nie zarejestrować oczywistych artefaktów typowych dla uruchamiania zewnętrznego malware.
Konsekwencje / ryzyko
Największe ryzyko wynikało z minimalnej interakcji wymaganej od użytkownika. W praktyce samo wyświetlenie wiadomości mogło uruchomić cały łańcuch ataku, co znacząco zwiększało szansę powodzenia operacji. Użytkownik nie musiał popełnić klasycznego błędu, takiego jak kliknięcie w link czy pobranie załącznika.
Potencjalne skutki kompromitacji obejmowały zarówno przejęcie pojedynczej skrzynki, jak i dalsze działania wewnątrz organizacji:
- przejęcie aktywnej sesji webmail,
- kradzież wiadomości i załączników,
- pozyskanie danych uwierzytelniających oraz materiału 2FA,
- dostęp do książki adresowej i relacji komunikacyjnych,
- ustanowienie trwałego dostępu do konta,
- wykorzystanie przejętej skrzynki do dalszego spear phishingu.
Dla organizacji rządowych, obronnych i badawczych skutki mogą być szczególnie poważne. Utrata korespondencji, danych osobowych, materiałów strategicznych czy informacji kontraktowych może stać się punktem wyjścia do dalszej eskalacji, ruchu bocznego i budowy bardzo wiarygodnych kampanii podszywających się pod zaufanych nadawców.
Rekomendacje
Najważniejszym krokiem jest szybka weryfikacja używanej wersji Zimbra i aktualizacja do wydań wolnych od podatności, czyli co najmniej 10.0.18 lub 10.1.13. Jeżeli organizacja nie może wdrożyć poprawek natychmiast, warto tymczasowo ograniczyć korzystanie z podatnego klasycznego interfejsu webmail i skierować użytkowników do alternatywnych klientów.
- przeprowadzić przegląd wszystkich instancji Zimbra, zwłaszcza tych dostępnych z internetu,
- ograniczyć lub wyłączyć Classic UI tam, gdzie jest to możliwe,
- monitorować tworzenie i użycie haseł aplikacyjnych oraz nietypową aktywność IMAP, POP3 i SMTP,
- analizować logi pod kątem masowego eksportu wiadomości i nietypowych zapytań do katalogu adresowego,
- monitorować ruch DNS pod kątem anomalii i możliwej eksfiltracji,
- badać wiadomości HTML pod kątem podejrzanych konstrukcji z
@importi ukrytych elementów, - zwiększyć retencję logów aplikacyjnych, sieciowych i proxy,
- przeprowadzić hunting w kierunku podejrzanych sesji webmail oraz zmian ustawień kont,
- w razie podejrzenia kompromitacji wymusić reset poświadczeń i unieważnić aktywne sesje,
- przetestować scenariusze reagowania na incydenty specyficzne dla środowisk webmail.
W organizacjach o podwyższonym profilu ryzyka warto traktować webmail jako krytyczną powierzchnię ataku, wymagającą równie ścisłego monitoringu jak systemy końcowe i usługi zdalnego dostępu.
Podsumowanie
Kampania TA488 pokazuje, jak skuteczne mogą być ataki wykorzystujące błędy po stronie klienta w popularnych platformach pocztowych. CVE-2025-66376 w Zimbra umożliwiała uruchomienie kodu po samym wyświetleniu wiadomości, a następnie przejęcie danych sesyjnych, eksport poczty i utrwalenie dostępu do konta.
Dla zespołów bezpieczeństwa najważniejsze wnioski są jednoznaczne: szybko łatać systemy pocztowe, monitorować anomalie w sesjach i protokołach pocztowych oraz uwzględniać webmail w modelu zagrożeń jako pełnoprawny, krytyczny element infrastruktury.
Źródła
- Infosecurity Magazine – TA488 Outlook Half-Click OWAReaper https://www.infosecurity-magazine.com/news/ta488-outlook-half-click-owareaper/
- Proofpoint – TA488 Targets Zimbra Mailservers with Half-Click Exploits https://www.proofpoint.com/us/blog/threat-insight/ta488-targets-zimbra-mailservers-half-click-exploits
- NIST NVD – CVE-2025-66376 https://nvd.nist.gov/vuln/detail/CVE-2025-66376
- Joint Cybersecurity Advisory – Russian State-Supported Cyber Actors Conduct Phishing Campaign Targeting Users of Zimbra Collaboration Suite https://media.defense.gov/2026/Jul/22/2003965244/-1/-1/1/CSA_RUSSIA_PHISHING_TARGET_ZIMBRA.PDF
- Zimbra Security Center https://wiki.zimbra.com/wiki/Security_Center