這是一次由俄羅斯支持的間諜組織發起的精密攻擊。攻擊者利用了 Zimbra 郵件系統的一個零日漏洞（Zero-Day，指尚未被廠商發現或修復的漏洞），在長達數月的時間裡潛伏在西方政府與企業的信箱中，竊取敏感郵件與二階段驗證（2FA）碼。
對於工程師來說，這次攻擊最值得關注的不是漏洞本身，而是攻擊者如何繞過安全過濾機制，以及在漏洞修復後如何維持對帳號的長期控制權。
攻擊的核心：利用儲存型 XSS 繞過過濾器
這次攻擊利用的是 CVE-2025-66376，這是一個儲存型跨網站指令碼漏洞（Stored Cross-Site Scripting, XSS）。簡單來說，XSS 是指攻擊者將惡意 JavaScript 程式碼注入到網頁中，當受害者瀏覽該頁面時，瀏覽器會誤以為這是合法指令而執行。
在這次案例中，攻擊者使用了稱為標籤分割（Tag-splitting）的高明技巧。他們在 HTML 郵件中利用 CSS 的 @import 指令以及 HTML 註釋，將惡意標籤拆散。Zimbra 的安全過濾器（Sanitizer）在檢查時，只看到了無害的片段，因此將其放行。然而，當郵件在瀏覽器中渲染時，瀏覽器會將這些碎片重新組合，最終形成一個可執行的 <svg onload=...> 標籤，直接在使用者的認證會話（Authenticated Session）中執行惡意腳本。
這種攻擊被稱為零點擊（Zero-click），因為使用者不需要點擊任何連結或下載附件，只要單純地打開或預覽該郵件，攻擊就會自動觸發。
後續的滲透與資料竊取過程
一旦 JavaScript 載荷（Payload，此處被命名為 ZimReaper）在瀏覽器中執行，它便繼承了使用者的所有權限，隨後進行以下操作：
第一，竊取認證資訊。它會抓取 CSRF Token（用於防止跨站請求偽造的令牌）、瀏覽器自動填入的密碼，以及最重要的二階段驗證恢復碼（2FA Scratch Codes）。
第二，資料外洩。它透過 DNS 查詢（DNS Exfiltration）將竊得的資訊傳回攻擊者的伺服器。使用 DNS 隧道是一種常見的規避手段，因為許多防火牆會允許 DNS 流量通過，不容易被偵測。
第三，全面掃描。它會暴力破解全域地址清單（Global Address List），將組織內所有成員的郵件目錄抓取回來，並將受害者最近 90 天的所有郵件打包成 TGZ 壓縮檔傳回 C2 伺服器（Command and Control Server，攻擊者的指揮中心）。
最危險的持久化手段：應用程式專用密碼
這次攻擊最棘手的地方在於攻擊者建立了應用程式專用密碼（App-specific Password）。
在許多現代系統中，為了方便 IMAP 或 POP3 等舊式郵件客戶端連線，系統允許建立不需 2FA 驗證的專用密碼。攻擊者利用 stolen token 呼叫 API 建立了一個名為 ZimbraWeb 的專用密碼。
這意味著即便系統管理員後來更新了軟體版本，或者使用者修改了主密碼，這個專用密碼依然有效。攻擊者可以透過這個後門，持續以 IMAP 或 SMTP 協議存取信箱，而完全不需要經過 2FA 驗證。
實務上的防禦與修復建議
如果你負責維護 Zimbra 系統，單純地更新版本是不夠的，因為更新只能堵住漏洞，無法清除已經被竊取的憑證。
建議採取以下步驟：
首先，版本升級。將 Zimbra 升級至 10.1.13 或更新版本（建議直接升至最新版 10.1.20）。
其次，帳號審查。對於所有在漏洞期間打開過可疑郵件的帳號，必須強制執行密碼重設、失效所有活動會話（Invalidate Sessions），並重新產生 2FA 恢復碼。
第三，清理後門。檢查 /opt/zimbra/log/audit.log 紀錄，搜尋是否有 CreateAppSpecificPassword 的呼叫，並刪除任何名為 ZimbraWeb 的專用憑證。
最後，監控異常。檢查是否有帳號在無業務需求的情況下開啟了 IMAP 功能（zimbraPrefImapEnabled 為 TRUE），並監控 GetScratchCodesRequest 等不常出現的 SOAP 呼叫。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。