In una recente rivelazione del Google Threat Analysis Group (ETICHETTA), un critico zero-day La falla nel software di posta elettronica Zimbra Collaboration è diventata il punto focale degli attacchi informatici nel mondo reale. Sfruttato da quattro distinti autori di minacce, questi attacchi miravano a rubare dati sensibili di posta elettronica, credenziali utente, e i token di autenticazione hanno sollevato preoccupazioni tra gli esperti di sicurezza informatica.
La vulnerabilità CVE-2023-37580
Tracciato come CVE-2023-37580, il difetto è uno scripting cross-site riflesso (XSS) vulnerabilità che interessava le versioni precedenti di Zimbra 8.8.15 Toppa 41. Scoperto e segnalato dal ricercatore TAG Clément Lecigne, la vulnerabilità è stata risolta da Zimbra tramite patch rilasciate a luglio 25, 2023.
Come funziona il difetto
La vulnerabilità consente l'esecuzione di script dannosi sulle vittime’ browser Web inducendoli a fare clic su un URL appositamente predisposto. Ciò attiva una richiesta XSS a Zimbra, riflettendo l'attacco sull'utente e consentendo potenzialmente all'aggressore di eseguire azioni dannose.
Timeline di attacchi
Google TAG ha scoperto più ondate di campagne basate su CVE-2023-37580 a partire da giugno 29, 2023, due settimane prima che Zimbra emettesse un avviso. Tre delle quattro campagne sono state avviate prima del rilascio della patch, sottolineando l’urgenza di aggiornamenti tempestivi. La quarta campagna è stata rilevata un mese dopo la pubblicazione delle correzioni.
Dettagli della campagna
- TEMP_ERETICO: La prima campagna aveva come obiettivo un'organizzazione governativa in Grecia, invio di e-mail contenenti URL di exploit che portano alla distribuzione di malware in grado di rubare e-mail.
- Viverna invernale: Questo autore di minacce si è concentrato sulle organizzazioni governative in Moldavia e Tunisia poco dopo che la patch di vulnerabilità è stata inviata a GitHub a luglio 5. Winter Vivern è stato precedentemente collegato allo sfruttamento delle vulnerabilità della sicurezza in Zimbra Collaboration e Roundcube.
- Gruppo non identificato in Vietnam: Prima che la patch venisse rilasciata a luglio 25, un terzo, un gruppo non identificato ha sfruttato la falla per effettuare il phishing delle credenziali di un'organizzazione governativa in Vietnam. Gli aggressori hanno utilizzato una pagina di phishing per raccogliere credenziali webmail e hanno pubblicato le credenziali rubate su un URL su un dominio governativo ufficiale.
- Obiettivo: il Pakistan: In agosto 25, un'organizzazione governativa in Pakistan è rimasta vittima di questo difetto, con conseguente esfiltrazione dei token di autenticazione Zimbra in un dominio remoto denominato “ntcpk[.]org.”
Google TAG ha sottolineato il modello degli autori delle minacce che sfruttano le vulnerabilità XSS nei server di posta, evidenziando la necessità di controlli approfonditi di tali applicazioni. La scoperta di quattro campagne che sfruttano CVE-2023-37580, anche dopo che il difetto era stato pubblicamente noto, sottolinea l'importanza che le organizzazioni applichino tempestivamente le correzioni ai propri server di posta.
Conclusione
La vulnerabilità zero-day di Zimbra CVE-2023-37580 ha esposto le organizzazioni ad attacchi mirati, dimostrando l’importanza di solide misure di sicurezza informatica e la necessità di una rapida adozione delle patch. Man mano che le minacce informatiche si evolvono, misure di sicurezza proattive, controlli regolari, e la tempestiva applicazione degli aggiornamenti sono fondamentali per salvaguardare le informazioni sensibili e mantenere l’integrità delle piattaforme di comunicazione.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: