Злоумышленники используют уязвимость Zimbra для развертывания веб-оболочек и сбора секретных данных аутентификации.

[admin]

Согласно результатам исследования группы специалистов по безопасности Microsoft, злоумышленники использовали уже исправленную уязвимость в системе безопасности Zimbra Collaboration Suite (ZCS) для развертывания веб-оболочек и доступа к данным почтовых ящиков.


Атака использует уязвимость CVE-2026-73570 (оценка CVSS: 8.9), представляющую собой уязвимость внедрения команд операционной системы без аутентификации, которая может привести к удаленному выполнению кода при включенных уведомлениях по протоколу SNMP (Simple Network Management Protocol) и установленном дополнительном пакете zimbra-snmp.


Эксплуатация уязвимости CVE-2026-73570 может быть вызвана специально сформированным SMTP-запросом (например, электронным письмом, отправленным на открытые серверы Zimbra без аутентификации или взаимодействия с пользователем). Уязвимость была исправлена компанией Zimbra в июле 2026 года с выпуском версии 10.1.20.


«После успешной эксплуатации были зафиксированы следующие действия: развертывание веб-оболочек JSP и обратных оболочек, повышение привилегий, использование инструментов для постоянного удаленного доступа и выполнение кода в оперативной памяти», — сообщила технологическая компания . «Злоумышленники также получили доступ к электронной почте и собрали данные аутентификации и почтовых ящиков, при этом наблюдалась активность по созданию архивов и последующей передаче данных».


Компания Microsoft заявила, что зафиксировала пострадавшие организации в нескольких регионах и отраслях, хотя не на каждом хосте были обнаружены все этапы цепочки атак. В настоящее время неизвестно, кто стоит за этими атаками.


Подробности активной эксплуатации уязвимости CVE-2026-73570 впервые были освещены Польской группой реагирования на чрезвычайные ситуации в компьютерной сфере (CERT Polska) в августе 2026 года. Агентство призвало пользователей проверить файл "/var/log/zimbra.log" на предмет подозрительных перезапусков служб Zimbra и поискать файлы, созданные во временных каталогах и каталоге "webapps" Zimbra.

Позже в том же месяце Агентство по кибербезопасности и защите инфраструктуры США (CISA) официально добавило эту уязвимость в свой каталог известных эксплуатируемых уязвимостей (KEV), обязав федеральные агентства внедрить исправления к 24 августа 2026 года.

На основе телеметрических данных, задокументированная Microsoft активность атак была выявлена «в интервале» между 20 июля 2026 года, когда была выпущена версия Zimbra 10.1.20, и 13 августа 2026 года, когда уязвимость была публично раскрыта.

В частности, в период с 28 июля по 7 августа 2026 года были обнаружены два различных инструмента внеполосного сканирования, которые исследовали путь внедрения для проверки выполнения команды без доставки последующей полезной нагрузки.

Затем злоумышленники воспользовались этим первоначальным путем доступа, чтобы выполнять команды от имени учетной записи службы "zimbra" и развертывать множество веб-оболочек JSP в путях к приложениям Jetty и mailboxd для обеспечения отказоустойчивости, а также загружать и запускать вредоносные полезные нагрузки напрямую через wget или curl и создавать интерактивные обратные оболочки.


«В других цепочках выполнения использовались cron, systemd или memfd_create для поддержания повторяющегося или поддерживаемого памятью выполнения», — заявили в Microsoft. «В некоторых случаях злоумышленники временно предоставляли доступ на запись к общедоступному каталогу для развертывания веб-оболочки, а затем восстанавливали права доступа к каталогу, ограничивая видимость изменений при базовых проверках прав доступа».

Ниже перечислены некоторые из последующих шагов, предпринимаемых злоумышленником:

• Для определения узлов почтовых ящиков и MTA в целях обнаружения среды используйте zmprov для создания карты развертывания Zimbra.
• Проверьте наличие учетной записи Zimbra SSH, чтобы облегчить перемещение данных между хостами Zimbra.
• Используйте метод повышения привилегий, который предоставляет учетной записи службы "zimbra" неограниченный доступ к sudo без пароля путем изменения конфигурационного файла "/etc/pam.d/sudo".
• Создайте службу systemd с именем "zimlog.service" для второго механизма обеспечения постоянного доступа, который гарантирует выполнение при загрузке системы.
• Чтобы получить доступ к централизованным секретам службы и аутентификации Zimbra, используйте команду "zmlocalconfig -s" на сервере, а не пытайтесь получить доступ к паролям отдельных почтовых ящиков. Полученные учетные данные затем используются для аутентифицированных LDAP-запросов с целью получения важных атрибутов, таких как zimbraPreAuthKey, zimbraAuthTokenKey и zimbraTwoFactorAuthSecret.
• Используйте существующую учетную запись SSH Zimbra по адресу "/opt/zimbra/.ssh/zimbra_identity", чтобы обеспечить горизонтальное перемещение между другими доверенными узлами в кластере. Rsync используется для передачи веб-оболочек JSP и других вспомогательных скриптов между узлами.
• Используйте зашифрованную с помощью OpenSSL обратную оболочку для доступа к контролируемой злоумышленником инфраструктуре с целью выполнения команд, получения полезной нагрузки и эксфильтрации выходных данных команд.

По меньшей мере в одной из кампаний было обнаружено, что злоумышленники использовали легковесный загрузчик командной оболочки для бинарного файла Zimdown2 Go, который затем выступает в качестве установщика агента удаленного доступа Zimclient2. Zimclient2 предлагает интерактивный доступ к командной оболочке, двунаправленные операции с файлами и проксирование SOCKS5.

«Он поддерживал протоколы WebSocket, TLS и обычный TCP, обеспечивая отказоустойчивый удаленный доступ и потенциальную возможность перенаправления сети через скомпрометированные серверы Zimbra», — заявила Microsoft. «В ходе расследования были выявлены несколько механизмов обеспечения постоянного присутствия, связанных с вредоносной программой, включая службы systemd, OpenRC, cron, файлы запуска оболочки, авторизованные ключи SSH и создание локальных учетных записей».

Также с этой деятельностью связано развертывание полезных нагрузок, специфичных для Zimbra. Это включает в себя исполняемый файл на языке Go, который пытается извлечь учетные данные сервисной учетной записи Zimbra из файла "/opt/zimbra/conf/localconfig.xml" и использовать эти значения для построения строк подключения к MySQL и LDAP к экземпляру Zimbra MySQL, а также для экспорта содержимого следующих таблиц базы данных:

• почтовый ящик
• метаданные почтового ящика
• мобильные_устройства
• не_в_офисе
• Все таблицы в пространстве имен zimbra.*

Встроенный модуль также собирает и подготавливает учетные данные, сертификаты, секреты LDAP, правила обработки почты и конфигурационные файлы. Собранные файлы сжимаются в ZIP-архив для последующей передачи на удаленную конечную точку.


«На одном из взломанных серверов Zimbra злоумышленник заархивировал содержимое последних резервных копий почтовых ящиков в /opt/zimbra/final.tar.gz», — сообщила Microsoft. «Затем злоумышленник загрузил AzCopy с hxxps://aka[.]ms/downloadazcopy-v10-linux и запустил его с помощью предоставленного оператором URL-адреса Azure Blob SAS, нацеленного на wsweb03[.]blob[.]core[.]windows[.]net/log/windows.log».


«Эти действия демонстрируют сбор данных из почтовых ящиков, создание локального архива и попытку утечки информации с использованием инструментов облачного хранилища; имеющиеся данные не подтверждают успешное завершение передачи».


Для противодействия угрозе организациям рекомендуется немедленно установить обновления. Если установка патчей невозможна, рекомендуется удалить пакет zimbra-snmp, отключить уведомления SNMP и ограничить доступ к SNMP и SMTP только для доверенных хостов. Другие меры безопасности включают в себя ротацию секретных ключей аутентификации Zimbra и сканирование сервера на наличие избыточного сохранения веб-оболочки.

Источник