ロシア政府支援のLaundry Bearグループは、Zimbra Collaboration SuiteのClassic UIに存在するCVE-2025-66376というXSS脆弱性を悪用してメールサーバーに侵入している。この脆弱性は、ユーザーがメールを単に表示するだけで、リンクをクリックせずにJavaScriptコードを実行可能にする。攻撃者はこの手法で、ユーザーの過去90日分のメール、認証情報、グローバルアドレスリスト、2要素認証トークンを自動的に窃取している。

さらに、攻撃者はZimbraの旧メールクライアントで使用されていたアプリケーションパスワードを生成し、多要素認証を回避している。このパスワードは、IMAPやActiveSyncなどのプロトコルを用いるシステムへのアクセスを継続可能にする。窃取されたデータは、DNSクエリとHTTPSを通じて「Flowerbed」と呼ばれる収集フレームワークを介して攻撃者サーバーに送信される。

このグループは、mailnalysis.comやzimbrastat.comなどの偽ドメインを用いて、フィッシング攻撃を実施している。CISAは、組織がZimbraソフトウェアを更新し、疑わしいリンクを調査し、不正なアプリケーションパスワードを無効化することを推奨している。