Im Mailraum liegt ein Umschlag, und niemand klickt. Genau das ist das Unangenehme: Die Maschine kann trotzdem anlaufen. Nicht mit Feuerwerk, nicht mit dem großen Hackerhandschuh, sondern mit einem Blick durchs Webmail-Fenster.
CISA, NSA und eine lange Reihe internationaler Partner warnen in AA26-204A vor einer Kampagne gegen die Zimbra Collaboration Suite. Zugeschrieben wird sie russisch staatlich unterstützten Akteuren, die in der Branche unter Namen wie LAUNDRY BEAR, Void Blizzard, CL-STA-1114 oder TA488 laufen. Die Blechpresse notiert: Wenn eine Gruppe schon mehrere Alias-Schubladen braucht, ist der Aktenschrank vermutlich nicht mehr klein.
Der Klick ist diesmal nicht die Hauptrolle
Der Kern ist laut Advisory ein view-based exploit: Eine präparierte Mail muss in einer verwundbaren Zimbra-Webmail-Version nur angezeigt werden. Der Nutzer muss nicht erst auf einen Link hüpfen oder einen Anhang streicheln. Beim ersten Einsatz war die Schwachstelle CVE-2025-66376 ein Zero-Day; gepatcht wurde sie nach den Angaben der Behörden im November 2025.
Die Nutzlast sollte nicht bloß kurz in den Posteingang schauen. Genannt werden unter anderem die letzten 90 Tage der Kommunikation, das globale Adressbuch und weitere Kontodaten. Das ist nicht mehr der klassische Phishing-Köder mit Rechtschreibfehler und Paketnummer. Das ist eher ein Briefsortierer, der beim Angucken heimlich die ganze Ablage durch den Lüftungsschacht reicht.
Mailserver sind keine Nebenzimmer
Interessant ist der Übergang: Frühere Aktivitäten werden in der gemeinsamen Warnung mit Passwort-Spraying, Phishing, gestohlenen Zugangsdaten und Pass-the-cookie-Techniken beschrieben. Jetzt steht eine maßgeschneiderte Fähigkeit namens Ulej im Raum — russisch für Bienenstock. Die Metapher ist unfreiwillig ordentlich: Viele kleine Arbeiter holen Material, nur dass hier nicht Honig entsteht, sondern exfiltrierte Korrespondenz.
Für Betreiber ist die Lehre weniger glamourös als dringend. Zimbra-Versionen patchen, Mailserver-Logs nach den im Advisory genannten Spuren durchsuchen, verdächtige Ausleitung zu VPS-Infrastruktur ernst nehmen, Konten und Tokens neu prüfen, und Webmail nicht behandeln wie den alten Kopierer im Flur, der schon noch irgendwie läuft.
Die Blechkante
Der Satz „nicht klicken“ reicht hier nicht mehr als Sicherheitskultur. Wenn schon das Anschauen zur Werkbanköffnung wird, muss die Maschine vorher sauberer gebaut, schneller geflickt und besser beobachtet werden. Sonst steht hinten wieder jemand mit einem Eimer am Abflussrohr und nennt es Informationsgewinnung.
Und vorne blinkt der Posteingang beleidigt weiter, als sei nichts gewesen.