Un ataque silencioso que roba meses de correos
Un grupo de hackers con respaldo estatal ruso está utilizando una vulnerabilidad inédita en Zimbra Collaboration Suite para acceder y extraer correos electrónicos de hasta 90 días de antigüedad. El foco no es el beneficio económico, sino el espionaje dirigido a sectores como gobierno, defensa, energía, educación, medios, ONGs y tecnología.
La vulnerabilidad, una falla de cross-site scripting en el webmail de Zimbra, permite que un correo especialmente diseñado ejecute código malicioso sin que el usuario tenga que hacer clic ni abrir archivos adjuntos. Basta con que el correo se visualice en un cliente Zimbra vulnerable para que se active el ataque.
Este código automatizado recopila información crítica del usuario, como dirección de correo, estado del dispositivo, tokens OAuth y códigos de respaldo para autenticación de dos factores. Además, genera un pase de aplicación que elude la protección 2FA nativa, manteniendo el acceso persistente.
El proceso de exfiltración de correos utiliza métodos encubiertos, combinando tráfico HTTPS y consultas DNS disfrazadas para enviar la información a servidores controlados por los atacantes. La infraestructura emplea contenedores y servicios VPN para ocultar sus operaciones y evitar detección.
Si bien la campaña es sofisticada y silenciosa, existen indicios en los registros de Zimbra y en el almacenamiento local del navegador que pueden ayudar a detectar la intrusión.
¿Qué hacer para protegerse?
Actualizar urgentemente Zimbra para corregir la vulnerabilidad es imprescindible. También se recomienda revocar todos los pases de aplicación y códigos de respaldo 2FA para cortar accesos no autorizados. Considerar alternativas seguras para el acceso al correo puede reducir la exposición a este tipo de ataques.
Este caso subraya la importancia de mantener actualizadas las plataformas críticas y revisar periódicamente los accesos y permisos, especialmente en entornos con información sensible.
