Μια νέα εκστρατεία κυβερνοκατασκοπείας φέρνει ξανά στο προσκήνιο την ομάδα APT28, γνωστή και ως Fancy Bear, η οποία συνδέεται με τη ρωσική στρατιωτική υπηρεσία πληροφοριών GRU. Οι επιτιθέμενοι εκμεταλλεύονται μια σοβαρή ευπάθεια στη σουίτα email και συνεργασίας Zimbra Collaboration Suite (ZCS), στοχεύοντας κρίσιμες ουκρανικές υποδομές και κυβερνητικούς οργανισμούς.
Η ευπάθεια, που καταγράφεται ως CVE-2025-66376, αφορά ένα stored cross-site scripting (XSS) flaw, το οποίο μπορεί να αξιοποιηθεί από μη εξουσιοδοτημένους χρήστες για απομακρυσμένη εκτέλεση κώδικα και πλήρη παραβίαση λογαριασμών email.
Επείγουσα προειδοποίηση από την CISA
Η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ (CISA) συμπεριέλαβε το συγκεκριμένο κενό στον κατάλογο των ενεργά εκμεταλλευόμενων ευπαθειών (KEV), υπογραμμίζοντας τη σοβαρότητά του. Παράλληλα, διέταξε τις ομοσπονδιακές υπηρεσίες να προχωρήσουν άμεσα σε θωράκιση των συστημάτων τους εντός δύο εβδομάδων, σύμφωνα με την οδηγία BOD 22-01.
Δείτε επίσης: Horabot Banking Trojan: Νέα καμπάνια με εστίαση στο Μεξικό
Αν και η CISA δεν παρείχε λεπτομέρειες για τις επιθέσεις, ανεξάρτητες αναλύσεις επιβεβαιώνουν ότι η ευπάθεια αξιοποιείται ενεργά σε στοχευμένες επιχειρήσεις κατασκοπείας.
Operation GhostMail: Η νέα τακτική χωρίς συνημμένα
Η καμπάνια, που αποκαλύφθηκε από ερευνητές ασφαλείας, φέρει την ονομασία Operation GhostMail και ξεχωρίζει για την πρωτοτυπία της. Σε αντίθεση με τις παραδοσιακές επιθέσεις phishing, τα κακόβουλα emails δεν περιλαμβάνουν συνημμένα ή ύποπτους συνδέσμους.
Αντί αυτού, ολόκληρη η επίθεση ενσωματώνεται στο HTML σώμα του μηνύματος, μέσω obfuscated JavaScript κώδικα. Όταν ο χρήστης ανοίγει το email σε ευάλωτο περιβάλλον Zimbra webmail, ενεργοποιείται η εκμετάλλευση της ευπάθειας χωρίς καμία επιπλέον ενέργεια.
Σιωπηλή υποκλοπή δεδομένων σε πραγματικό χρόνο
Μόλις εκτελεστεί το κακόβουλο script, ξεκινά μια αθόρυβη διαδικασία συλλογής δεδομένων. Οι επιτιθέμενοι αποκτούν πρόσβαση σε διαπιστευτήρια σύνδεσης, tokens συνεδρίας, εφεδρικούς κωδικούς 2FA, αποθηκευμένους κωδικούς browser, καθώς και το πλήρες ιστορικό email έως και 90 ημερών.
Δείτε επίσης: Ubiquiti UniFi: Ευπάθεια επιτρέπει πρόσβαση σε accounts
Τα δεδομένα εξάγονται μέσω DNS και HTTPS, καθιστώντας ιδιαίτερα δύσκολη την ανίχνευση από συμβατικά συστήματα ασφαλείας.
Στόχευση κρίσιμων υποδομών στην Ουκρανία
Μεταξύ των στόχων της εκστρατείας περιλαμβάνεται η Κρατική Υδρογραφική Υπηρεσία της Ουκρανίας, ένας οργανισμός κρίσιμης σημασίας για τη ναυσιπλοΐα και την υποστήριξη υποδομών. Η επιλογή τέτοιων στόχων υποδηλώνει σαφή στρατηγικό προσανατολισμό προς τη συλλογή πληροφοριών υψηλής αξίας.
Η στόχευση κυβερνητικών υπηρεσιών και οργανισμών που σχετίζονται με υποδομές ενισχύει την εκτίμηση ότι πρόκειται για επιχείρηση κρατικής κατασκοπείας και όχι απλώς οικονομικά υποκινούμενη επίθεση.
Η διαχρονική εκμετάλλευση ευπαθειών Zimbra
Οι ευπάθειες της πλατφόρμας Zimbra αποτελούν διαχρονικό στόχο για ομάδες κυβερνοκατασκοπείας. Τα τελευταία χρόνια έχουν χρησιμοποιηθεί επανειλημμένα για την παραβίαση χιλιάδων email servers παγκοσμίως.
Χαρακτηριστικά, η ομάδα Winter Vivern είχε αξιοποιήσει XSS ευπάθειες το 2023 για να κατασκοπεύσει οργανισμούς που συνδέονται με το ΝΑΤΟ, ενώ το 2024 η APT29 προχώρησε σε μαζικές επιθέσεις σε ευάλωτους Zimbra servers, υποκλέπτοντας διαπιστευτήρια χρηστών.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Δείτε επίσης: Interlock Ransomware: Εκμετάλλευση Zero-Day της Cisco FMC
Γιατί το webmail αποτελεί ιδανικό στόχο
Το webmail αποτελεί βασικό εργαλείο επικοινωνίας για οργανισμούς και κυβερνήσεις, γεγονός που το καθιστά ιδιαίτερα ελκυστικό στόχο. Η πρόσβαση σε έναν λογαριασμό email μπορεί να αποκαλύψει κρίσιμες πληροφορίες, εσωτερικές επικοινωνίες και διαπιστευτήρια για άλλες υπηρεσίες.
Επιπλέον, οι επιθέσεις που βασίζονται σε browser, όπως αυτή της GhostMail, παρακάμπτουν παραδοσιακά μέτρα ασφαλείας endpoint, καθιστώντας τις πιο δύσκολες στον εντοπισμό.
Ανάγκη για άμεση θωράκιση και πρόληψη
Η αντιμετώπιση τέτοιων απειλών απαιτεί άμεση εγκατάσταση ενημερώσεων ασφαλείας και ενίσχυση των μηχανισμών προστασίας από XSS επιθέσεις. Οι οργανισμοί θα πρέπει να εφαρμόζουν πολιτικές zero trust, να παρακολουθούν ενεργά τη δραστηριότητα webmail και να εκπαιδεύουν το προσωπικό τους.
Η υπόθεση της APT28 και της Zimbra αποδεικνύει ότι οι κυβερνοεπιθέσεις εξελίσσονται προς πιο «αόρατες» μορφές, όπου η εκμετάλλευση γίνεται χωρίς εμφανή σημάδια. Σε αυτό το περιβάλλον, η πρόληψη και η έγκαιρη ανίχνευση αποτελούν τη μοναδική αποτελεσματική άμυνα.
Πηγή: www.bleepingcomputer.com
