Хакери експлоатират Zimbra пощенски сървъри чрез специално разработени имейли за отдалечен достъп

Хакери се възползват от сериозна уязвимост в достъпни през интернет сървъри за електронна поща Zimbra чрез специално подготвени имейли. Слабостта позволява на външно лице да изпълнява команди на засегнат сървър, без да е необходимо да влиза в системата или да убеждава служител да отвори съобщение.

Активността се фокусира върху CVE-2026-73570, проблем с инжектиране на команди (command-injection) във функцията за SNMP известия на сървъра. Засегнати са инсталации, в които присъства незадължителният пакет zimbra-snmp и са активирани SNMP известията, превръщайки рутинния канал за мониторинг във входна точка.

Microsoft Threat Intelligence идентифицира и проследи атаките, като откри засегнати организации в повече от един регион и отрасъл.

От Microsoft заявиха в доклад, споделен с Cyber Security News (CSN), че след получаване на достъп атакуващите са комбинирали автоматизирано доставяне на злонамерен код с активност от типа „ръце върху клавиатурата“ (hands-on-keyboard).

Въздействието надхвърля рамките на една пощенска кутия. Разследващите установиха уеб шелове (web shells), криптирани обратни връзки (reverse connections), откраднати данни за автентификация, средства за устойчив отдалечен достъп и опити за събиране на данни от пощата, което изисква инсталиране на корекции за сигурност и провеждане на разследване във всички организации, проучени от Microsoft.

Хакери се възползват от пощенски сървъри Zimbra

Експлойтът злоупотребява с начина, по който Zimbra обработва подготвена SMTP заявка. Символи за командната обвивка (shell characters), подадени от атакуващ, могат да достигнат до обработката на SNMP известия; когато промяна в състоянието на услуга задейства мониторинга, процесът swatchdog включва този входен ресурс в команда snmptrap и я изпълнява от името на системния акаунт zimbra.

Не се изискват парола, акаунт или взаимодействие от страна на потребителя. Тази разлика прави публично достъпните сървъри изключително рискови и потвърждава защо предишният доклад за RCE експлоатация на Zimbra остава актуален за администраторите, отговарящи за публичната пощенска инфраструктура.

От Microsoft са наблюдавали разузнавателна дейност от 28 юли до 7 август, след като версия 10.1.20 стана налична на 20 юли, но преди публичното оповестяване на 13 август.

Операторите са използвали олекотени HTTP, DNS и ICMP обратни извиквания (callbacks), за да потвърдят, че могат да изпълняват команди и да достигнат до коренната уеб директория (webroot) на сървъра, преди да доставят зловреден софтуер.

След като са проникнали вътре, атакуващите са променили правата за достъп до уеб директорията, сглобили са отново компресираните части от злонамерения код и са записали JSP уеб шелове в публични папки на приложенията.

След това те са премахнали подготвените елементи и са копирали алтернативни уеб шелове към други възли на пощенските кутии – модел, който съответства на документацията за устойчиви уеб шелове на пощенски сървъри от предишни инциденти.

Злонамерените субекти са изтеглили съдържание с помощта на стандартни инструменти за команден ред, стартирали са фонови задачи и са отворили интерактивни обратни обвивки (reverse shells). Именуван канал (named pipe) е свързал локалната обвивка с криптирана OpenSSL сесия, позволявайки на оператора да подава команди и да получава резултати.

След това те са картографирали възлите за пощенски кутии и трансфер на поща, проверили са съществуващата SSH идентичност на Zimbra и са я използвали с rsync за прехвърляне на инструменти между доверени системи в клъстера. Това е разширило достъпа извън първоначално компрометирания сървър.

Откраднати идентификационни данни

Кампанията е била насочена към тайни на системните услуги, а не само към индивидуални потребителски пароли. Чрез заявки към конфигурацията и директорията на Zimbra, атакуващите са събрали идентификационни данни за LDAP, MySQL, Postfix и други услуги, заедно с ключове за предварителна автентификация, материали за подписване на токени и тайни за двуфакторна автентификация.

Тези ключове са изключително чувствителни, тъй като могат да осигурят достъп отвъд единична пощенска кутия. Специфичен за Zimbra имплант също е прочел локалния конфигурационен файл, експортирал е таблици от бази данни и е подготвил сертификати, частни ключове и данни от директории за прехвърляне, въпреки че наличните доказателства не потвърждават, че всеки опит за прехвърляне е бил успешен.

На един от сървърите атакуващите са архивирали данни от резервни копия на пощенски кутии в локален файл и са се опитали да ги изпратят към облачно хранилище. Други доказателства показват маршрут за ескалация на привилегии чрез манипулиране на локация за логове с права за писане и PAM конфигурация, което в крайна сметка е предоставило на акаунта zimbra администраторски достъп без парола.

Изследователите откриха маскирана системна услуга извън стандартните директории на Zimbra, активирана при зареждане на системата и с подвеждащи времеви клейма (timestamps).

Други механизми за доставяне на злонамерен код са включвали планирани задачи, стартиращи файлове, SSH ключове и локални акаунти, което подчертава защо защитниците трябва да проверяват множество маршрути за осигуряване на устойчивост (persistence).

Администраторите трябва незабавно да актуализират до Zimbra 10.1.20 или по-нова версия. Когато това не може да стане веднага, премахнете zimbra-snmp, деактивирайте SNMP известията и ограничете SNMP и SMTP достъпа само до доверени хостове.

Препоръката относно уязвимостта за инжектиране на SNMP команди също съветва да се прегледат настройките за мониторинг и необичайната командна активност. Екипите трябва да третират предупреждение за обратна обвивка (reverse-shell) на достъпен през интернет пощенски сървър като приоритетен инцидент.

Проверете всеки възел с пощенски кутии за неочаквани JSP файлове, генерирани сервлет артефакти и скорошни промени в правата за достъп; подменете (rotate) ключовете за предварителна автентификация на Zimbra; прегледайте системните услуги за съмнителни промени в собствеността, активирането или времевите клейма; и запазете логовете преди ограничаване на инцидента (containment).

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено обезвредени (напр. [.]), за да се предотврати случайно разрешаване или хипервръзки. Обезвреждайте ги отново само в контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашия SIEM.