El grupo ruso Laundry Bear usa una vulnerabilidad zero-day en Zimbra para comprometer redes gubernamentales y empresariales en EE.UU. y Ucrania desde 2025.
El grupo de amenazas persistentes avanzadas (APT) ruso respaldado por el estado, conocido como Laundry Bear, ha estado explotando una vulnerabilidad zero-day en la suite de colaboración Zimbra (ZCS) para atacar redes gubernamentales y empresariales en Estados Unidos y Ucrania desde julio de 2025. Esta campaña utiliza un método de phishing denominado "half-click" que solo requiere que la víctima abra o previsualice un correo malicioso para comprometer el servidor de correo web.
Por qué importa: Esta técnica permite ataques más sigilosos y efectivos, poniendo en riesgo información sensible de gobiernos y empresas en múltiples países aliados.
Lo esencial
El grupo Laundry Bear explota la vulnerabilidad CVE-2025-66376 en Zimbra desde julio de 2025.
La vulnerabilidad permite ejecutar código malicioso con solo visualizar un correo electrónico en la interfaz web vulnerable.
Zimbra lanzó un parche en noviembre de 2025, pero la divulgación pública de la falla fue retrasada.
Detalles de la vulnerabilidad y explotación
La vulnerabilidad CVE-2025-66376 es una falla de tipo cross-site scripting almacenado (XSS) en la interfaz clásica de Zimbra que permite a atacantes abusar de directivas CSS @import en correos HTML para ejecutar código malicioso. Esta falla fue corregida en la versión 10.1.13 de Zimbra en noviembre de 2025, aunque la empresa no reveló inicialmente la gravedad ni el CVE asociado.
El método de ataque "half-click" empleado por Laundry Bear no requiere que la víctima haga clic en enlaces o archivos adjuntos, sino que basta con que abra o previsualice el correo malicioso en el cliente web vulnerable para que el exploit se active y comprometa el servidor.
Impacto y alcance internacional
Agencias de inteligencia y ciberseguridad de al menos 15 países confirmaron que esta campaña ha afectado a múltiples organizaciones gubernamentales y empresariales en Estados Unidos, Ucrania y otros aliados occidentales. La operación, denominada "Operation GhostMail" por la firma Seqrite, se atribuyó inicialmente a otro grupo ruso, APT28 o Fancy Bear, pero investigaciones posteriores identificaron a Laundry Bear como el actor responsable.
Imagen de referencia: Dark Reading.
El objetivo principal de estos ataques es la recopilación de información sensible para la Federación Rusa, lo que representa una amenaza significativa para la seguridad nacional y la privacidad de las entidades afectadas.
Respuesta y medidas adoptadas
Tras la detección de la explotación, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE.UU. (CISA) incluyó la vulnerabilidad en su catálogo de vulnerabilidades conocidas explotadas (KEV) en marzo de 2026. Sin embargo, la divulgación pública y la comunicación oficial por parte de Zimbra y su empresa matriz Synacor han sido limitadas y tardías, lo que generó críticas en la comunidad de ciberseguridad.
Se recomienda a las organizaciones que utilicen Zimbra actualizar a la versión 10.1.13 o superior para mitigar el riesgo de explotación, aunque no se han detallado otras medidas específicas por parte de las agencias involucradas.
Preguntas frecuentes sobre Laundry Bear y Zimbra
¿Qué es el grupo Laundry Bear?
Laundry Bear es un grupo de amenazas persistentes avanzadas (APT) respaldado por el estado ruso, especializado en ataques cibernéticos dirigidos a objetivos gubernamentales y empresariales occidentales.
¿Cómo funciona el exploit "half-click" en Zimbra?
Este exploit aprovecha una vulnerabilidad XSS que se activa simplemente al abrir o previsualizar un correo electrónico malicioso en la interfaz web vulnerable de Zimbra, sin necesidad de interacción adicional del usuario.
