Agências alertam para ataque zero-click russo

As principais agências de cibersegurança dos Estados Unidos, Reino Unido, Canadá, Austrália, Nova Zelândia e vários países europeus alertaram para uma campanha de ciberespionagem atribuída a um grupo ligado ao Estado russo que utiliza uma técnica de ataque “zero-click” para comprometer organizações ocidentais.

Segundo o aviso conjunto, o grupo, identificado como Laundry Bear, também conhecido por Void Blizzard e UAC-0190, explora uma vulnerabilidade de dia zero no Zimbra Collaboration Suite (ZCS), identificada como CVE-2025-66376, para aceder a sistemas sem que os utilizadores tenham de clicar em ligações ou abrir ficheiros maliciosos.

Ao contrário das campanhas tradicionais de phishing, o ataque tira partido de uma vulnerabilidade no serviço de webmail do Zimbra. Basta que a mensagem seja visualizada numa versão vulnerável da plataforma para que o código malicioso seja executado, permitindo aos atacantes obter acesso ao sistema.

De acordo com as autoridades, os atacantes procuram exfiltrar, pelo menos, os últimos 90 dias de correio eletrónico armazenado nos servidores comprometidos, bem como outra informação sensível. A campanha inclui ainda mecanismos para manter acesso persistente às redes das vítimas, através do roubo de credenciais e da utilização de tokens de sessão para contornar mecanismos de autenticação multifator (MFA).

As operações de espionagem têm como alvo organizações dos setores da defesa, administração pública, educação, energia, forças de segurança, comunicação social, organizações não-governamentais e tecnologia. As agências indicam que a atividade do grupo remonta, pelo menos, a julho de 2025.

Beth Hopkins, Chief Operating Officer do National Cyber Security Centre (NCSC) do Reino Unido, afirmou que “esta campanha de phishing demonstra como os agentes maliciosos adaptam impiedosamente técnicas e exploram tecnologias vulneráveis ​​para atingir os seus objetivos de roubar informações confidenciais de organizações ocidentais”.

“Em conjunto com os nossos parceiros internacionais, encorajamos vivamente as organizações a familiarizarem-se com as técnicas de ‘zero cliques’ descritas no alerta, que podem ser utilizadas contra outras plataformas, e a agirem de acordo com as recomendações de mitigação”, acrescentou ainda a responsável.

As autoridades recomendam que as organizações que utilizam o Zimbra Collaboration Suite apliquem imediatamente as atualizações de segurança disponibilizadas, reforcem a monitorização dos sistemas e procurem indicadores de compromisso. O aviso aconselha ainda a utilização de serviços externos de autenticação compatíveis com passkeys, como forma de reduzir o risco de utilização de credenciais comprometidas.

O relatório técnico refere igualmente que a análise da campanha identificou indícios da utilização de inteligência artificial no desenvolvimento de parte do código utilizado pelos atacantes, refletindo a crescente utilização destas tecnologias em operações de ciberespionagem patrocinadas por Estados.