Grupo russo explora falha em webmail para espionagem

Um grupo de ciberespionagem associado à Rússia explorou uma vulnerabilidade no software de webmail Zimbra para comprometer uma agência governamental ucraniana, segundo investigadores da Seqrite.

O ataque foi atribuído com confiança moderada ao grupo APT28, também conhecido como Fancy Bear, e visou o State Hydrographic Service of Ukraine, entidade ligada à navegação marítima e a serviços de infraestruturas críticas.

A campanha recorreu a uma técnica de phishing que explora uma vulnerabilidade de cross-site scripting, identificada como CVE-2025-66376. A falha permite a injeção de código malicioso diretamente em emails visualizados na interface web do Zimbra.

Ao contrário de campanhas tradicionais, o ataque não utilizou links ou anexos maliciosos. O código estava incorporado no corpo HTML de um único email, apresentado como um pedido de estágio em língua ucraniana.

Quando aberto numa sessão ativa de webmail, o código era executado no browser da vítima sem alertas visíveis, permitindo aos atacantes recolher credenciais, tokens de sessão, códigos de autenticação multifator, palavras-passe armazenadas e até 90 dias de dados da caixa de correio.

Segundo os investigadores, esta abordagem permitiu contornar mecanismos de deteção tradicionais, ao explorar diretamente um ambiente considerado confiável pelos utilizadores.

O email malicioso terá sido enviado a partir de uma conta de estudante comprometida, reforçando a credibilidade da mensagem e aumentando a probabilidade de interação.

O grupo APT28 tem um histórico de campanhas de ciberespionagem direcionadas a entidades governamentais, defesa e logística, sobretudo na Ucrânia e países ocidentais. Recentemente, foi também associado a operações que utilizaram malware ainda não documentado.

O Zimbra tem sido um alvo recorrente em campanhas de espionagem conduzidas por grupos ligados à Rússia, incluindo APT29 e Winter Vivern, refletindo o interesse estratégico em plataformas de comunicação utilizadas por organizações públicas.