Zimbra ruba email senza click mentre APT iraniane assediano PLC e Notepad++

🛡️ Executive Summary

• Laundry Bear sfrutta una falla zero-click di Zimbra per rubare email, password, token MFA e creare codici applicativi persistenti.
• UAC-0099 distribuisce una copia legittima di Notepad++ accompagnata da un plugin malevolo che installa loader e persistenza su Windows.
• Attori iraniani utilizzano software ingegneristici legittimi per scaricare, modificare e ricaricare progetti PLC nelle infrastrutture critiche statunitensi.

Tre campagne mostrano come gli attaccanti possano trasformare funzioni legittime in strumenti di compromissione. Il gruppo russo Laundry Bear, conosciuto anche come Void Blizzard, utilizza una vulnerabilità zero-click di Zimbra per sottrarre mesi di comunicazioni senza richiedere alcun collegamento alla vittima. In Ucraina, il cluster UAC-0099 distribuisce una copia autentica di Notepad++ accompagnata da un plugin malevolo, sfruttando il normale meccanismo di caricamento dell’editor per installare malware. Negli Stati Uniti, attori collegati all’Iran prendono invece di mira PLC esposti su internet, impiegando gli stessi strumenti di configurazione usati dagli ingegneri per modificare logiche, progetti e dati visualizzati nei sistemi industriali.

Laundry Bear trasforma una email Zimbra in uno spyware

Laundry Bear sfrutta CVE-2025-66376, una vulnerabilità stored cross-site scripting presente nella Classic UI di Zimbra Collaboration. Il difetto permette di incorporare JavaScript in una email HTML appositamente costruita, eseguendolo automaticamente quando il destinatario apre il messaggio. L’utente non deve scaricare allegati, inserire credenziali o visitare un sito esterno: la sola visualizzazione della comunicazione attiva il codice nel contesto della sessione Zimbra già autenticata. Il gruppo russo avrebbe utilizzato la falla come zero-day prima della correzione pubblicata nel novembre 2025 e continua a colpire server rimasti senza patch. Il payload raccoglie fino a novanta giorni di messaggi, indirizzo della vittima, password, Global Address List e token per l’autenticazione a due fattori, inviando le informazioni all’infrastruttura Flowerbed attraverso HTTPS e query DNS. I dati più piccoli vengono codificati nelle richieste A-record, mentre archivi e contenuti della casella passano tramite connessioni web cifrate. L’attaccante genera inoltre un nuovo application passcode di Zimbra, utilizzabile con protocolli legacy come IMAP e ActiveSync per mantenere l’accesso anche dopo l’attivazione della MFA. La tecnica sviluppa le precedenti campagne dell’intelligence russa contro Zimbra e Signal, ma riduce ulteriormente l’interazione richiesta alla vittima e trasforma il client webmail in uno strumento di esfiltrazione automatica.

La patch non elimina codici applicativi e accessi già creati

La vulnerabilità è stata corretta, ma l’aggiornamento non rimuove automaticamente le conseguenze di una compromissione avvenuta prima dell’installazione. Gli amministratori devono verificare accessi anomali alle mailbox, nuove password applicative, sessioni persistenti, regole di inoltro e connessioni verso domini o indirizzi associati a Flowerbed. Particolare attenzione deve essere riservata ai codici denominati ZimbraWeb, che possono consentire all’attaccante di continuare a leggere la posta attraverso client esterni anche dopo il cambio della password principale. Laundry Bear combina inoltre la falla con kit adversary-in-the-middle che imitano le pagine di accesso Zimbra e sottraggono credenziali e cookie di sessione, mantenendo quindi più percorsi alternativi verso lo stesso obiettivo. Il gruppo, attribuito alla Russia dai servizi olandesi e monitorato da Microsoft come Void Blizzard, concentra le operazioni su governi, difesa, energia, forze di polizia, media, ONG e organizzazioni collegate all’Ucraina. La presenza di oltre diecimila server Zimbra esposti a precedenti XSS sfruttate attivamente dimostra che la rapidità della patch resta insufficiente quando le installazioni pubbliche mantengono interfacce legacy, autenticazioni deboli e visibilità limitata sulle operazioni compiute dentro le caselle.

Notepad++ carica il malware come un normale plugin

CERT-UA ha individuato una campagna di UAC-0099 che distribuisce un archivio contenente Notepad++ 8.8.3, un plugin malevolo denominato NppExport.dll, WinRAR e ulteriori payload compressi. La catena inizia con uno script VBS mascherato da documento PDF, che scarica un secondo archivio chiamato Evernote.zip, installa il pacchetto in una directory casuale e avvia l’editor. Notepad++ è autentico e non risulta compromesso attraverso il proprio canale ufficiale: il programma carica la DLL perché si trova nella cartella prevista per i plugin. Il componente, identificato come LunchPoke, crea un’attività pianificata, estrae un archivio protetto da password e avvia BurnyBear, loader incaricato di eseguire MatchBoil V2 e aggiornare la configurazione del command-and-control. Se il caricamento fallisce, BurnyBear può provocare un consumo intenzionale di memoria e CPU, degradando il sistema bersaglio. La campagna sfrutta quindi la fiducia riposta in un’applicazione nota e nel suo normale modello di estensione, senza dover modificare il file eseguibile principale. UAC-0099 è stato collegato in passato alla fornitura di accessi iniziali per APT44, conosciuto anche come Sandworm, e concentra le proprie attività contro obiettivi ucraini. L’operazione ricorda gli attacchi alla supply chain degli aggiornamenti di Notepad++, ma in questo caso non esiste una compromissione del progetto: sono gli aggressori a confezionare direttamente una versione portabile con il plugin ostile già inserito.

I PLC vengono modificati attraverso strumenti ingegneristici legittimi

Il terzo scenario coinvolge attori iraniani che colpiscono PLC e sistemi industriali esposti a internet nei settori energia, acqua, servizi pubblici e infrastrutture governative statunitensi. Le nuove ricostruzioni ampliano il perimetro oltre i dispositivi Rockwell Automation e Allen-Bradley, includendo apparecchiature Siemens e Schneider Electric. Gli aggressori individuano controller raggiungibili dall’esterno, ottengono accesso attraverso password deboli, credenziali predefinite o interfacce non protette e utilizzano software ingegneristici legittimi per scaricare il progetto residente sul PLC. Il file può essere analizzato, modificato e successivamente ricaricato sul dispositivo, alterando logiche, soglie, variabili e comportamento del processo fisico. In almeno un incidente osservato dall’FBI, un progetto malevolo è stato trasferito su un PLC appartenente a un’organizzazione infrastrutturale statunitense, mentre dati mostrati dalle interfacce HMI e SCADA sono stati manipolati causando interruzioni operative e perdite economiche. L’attaccante non deve necessariamente installare malware tradizionale sul controller: può abusare delle normali funzioni di programmazione e lasciare agli operatori una rappresentazione falsata dello stato dell’impianto. La precedente allerta contro hacker iraniani e PLC Rockwell aveva già evidenziato il rischio dei dispositivi collegati direttamente a internet; l’estensione a più fornitori conferma che il problema non riguarda un singolo marchio, ma l’esposizione dell’intero livello operativo.

Email, plugin e automazione condividono lo stesso errore di fiducia

Zimbra, Notepad++ e i PLC appartengono a contesti completamente differenti, ma le campagne sfruttano lo stesso principio: un componente legittimo esegue un’azione tecnicamente consentita senza riconoscere che l’origine non è affidabile. Zimbra interpreta il codice contenuto nel messaggio, Notepad++ carica una DLL collocata nella directory dei plugin e il software industriale trasferisce un progetto firmato o autorizzato da un operatore già compromesso. Le difese devono quindi controllare non soltanto vulnerabilità ed eseguibili sconosciuti, ma anche l’uso anomalo delle funzionalità previste. Per Zimbra servono patch, revoca dei passcode applicativi e analisi delle mailbox; per Notepad++ occorrono allowlist dei plugin, verifica delle firme e controllo dei pacchetti portabili; negli ambienti OT sono indispensabili segmentazione, rimozione dell’accesso internet diretto, password uniche, backup offline dei progetti e confronto continuo tra logica approvata e codice realmente presente nei PLC. La sicurezza industriale di SCADA e PLC dipende soprattutto dalla capacità di rilevare modifiche autorizzate soltanto in apparenza, prima che un comando digitale alteri un processo fisico.