Um conjunto de agências de cibersegurança de 16 países, lideradas pelo Centro Nacional de Cibersegurança do Reino Unido (NCSC) e pela norte-americana CISA, alertou para uma campanha de espionagem russa que rouba correio eletrónico sem exigir qualquer clique da vítima. O aviso conjunto, publicado a 23 de julho de 2026, atribui a operação ao grupo LAUNDRY BEAR (também conhecido como Void Blizzard) e descreve a exploração de uma vulnerabilidade no Zimbra Collaboration Suite (ZCS) que permite executar código malicioso apenas quando o utilizador visualiza uma mensagem numa versão vulnerável do webmail.
Resposta rápida: Atores estatais russos exploram a falha CVE-2025-66376 no Zimbra Collaboration Suite para roubar emails, contactos, anexos e dados de autenticação sem que a vítima clique em nada — basta abrir ou pré-visualizar a mensagem. A vulnerabilidade foi corrigida em novembro de 2025 nas versões 10.0.18 e 10.1.13. Se a sua organização usa Zimbra exposto à Internet, atualize de imediato e monitorize o serviço de correio à procura de atividade suspeita.
O que aconteceu
Atores russos apoiados pelo Estado visaram organizações ocidentais com uma campanha maliciosa que usa um exploit “zero-click” batizado de “beehive” (ou “Ulej”) para roubar emails, e o NCSC — parte do GCHQ — juntamente com agências de cibersegurança de 15 países, expôs as atividades do LAUNDRY BEAR, um grupo de ameaça persistente avançada especializado na aquisição encoberta de dados de correio eletrónico. Desde julho de 2025, o LAUNDRY BEAR tem visado e roubado informação sensível de correio de organizações que usam o software Zimbra Collaboration Suite, tendo sido atingidos setores como defesa, governo, educação, energia, aplicação da lei, media, ONG e tecnologia.
O aviso não é um alerta isolado de uma única entidade. O NCSC co-selou este novo aviso ao lado de agências da Austrália, Canadá, República Checa, Dinamarca, Estónia, Finlândia, França, Itália, Moldávia, Polónia, Espanha, Suécia, Países Baixos, Nova Zelândia e Estados Unidos. Do lado norte-americano, a CISA, a NSA, o FBI e outros parceiros governamentais e internacionais publicaram um aviso conjunto de cibersegurança, sendo o grupo conhecido principalmente como LAUNDRY BEAR, cujo esforço encoberto e em curso parece focado em recolher dados de correio de organizações ocidentais possivelmente para espionagem.
Porque é que “zero-click” muda tudo
A grande diferença desta campanha para o phishing tradicional está na ausência de interação humana. Ao contrário das campanhas de phishing tradicionais que persuadem o utilizador a tomar uma ação, como clicar numa ligação ou abrir um ficheiro, a campanha mais recente do LAUNDRY BEAR recorre a um exploit baseado em visualização que apenas requer que o utilizador veja um email malicioso numa versão vulnerável do serviço de webmail.
Na prática, isto significa que a formação de sensibilização — o velho conselho de “não clique em ligações suspeitas” — deixa de oferecer proteção. Esta é a característica definidora de um exploit zero-click: a superfície de ataque não é o discernimento do utilizador mas o comportamento automático de processamento de dados do software; a formação em sensibilização não oferece qualquer proteção porque a vítima nada faz, e uma organização que dependa de colaboradores treinados como principal defesa de correio fica sem defesa.
Vale a pena notar uma nuance técnica: alguns investigadores preferem o termo “half-click”. A Proofpoint, que também investigou a atividade, descreve a técnica como um exploit “half-click” porque a vítima ainda tem de abrir ou pré-visualizar o email, mas a empresa afirma que não é necessária interação adicional quando a mensagem aparece num cliente de webmail Zimbra vulnerável.
A vulnerabilidade: CVE-2025-66376
A falha explorada, CVE-2025-66376, é uma vulnerabilidade de cross-site scripting (XSS) que afeta a Classic UI do Zimbra Collaboration Suite. Trata-se de um XSS armazenado na Classic UI onde os atacantes podem abusar de diretivas CSS @import no HTML do email, podendo explorar a falha para tomar conta da conta de correio de um utilizador e comprometer todo o ambiente Zimbra.
Há um detalhe importante quanto à gravidade atribuída, que difere consoante a base de dados consultada. Os dois registos CVSS divergem sobre se visualizar a mensagem conta como interação do utilizador: o NVD pontua a falha em 6.1 e diz que sim, enquanto o MITRE a pontua em 7.2 e diz que não; a Unit 42 chama-lhe zero-click, mas todos descrevem o mesmo comportamento — a mensagem executa-se quando é renderizada, sem que mais nada tenha de acontecer. Quanto às versões, a falha afeta o Zimbra Collaboration 10.0 antes da 10.0.18 e 10.1 antes da 10.1.13.
A correção existe há vários meses. A Zimbra corrigiu-a em novembro de 2025 com o lançamento das versões ZCS 10.0.18 e 10.1.13. O período de exposição foi, porém, prolongado: quando o Void Blizzard começou a usar este exploit em julho de 2025, a vulnerabilidade era um zero-day por corrigir — ou seja, as organizações não tiveram uma correção do fabricante disponível durante cerca de quatro meses enquanto a campanha decorria. Entretanto, a CISA adicionou a CVE-2025-66376 ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), instando as agências federais a corrigi-la dentro do prazo mandatado.
Como funciona a cadeia de ataque
O aviso da CISA descreve com detalhe o mecanismo. Escondido no email do LAUNDRY BEAR está um payload codificado em Base64 dentro do campo onload de um elemento SVG (Scalable Vector Graphics); antes da inclusão deste payload no elemento SVG surgem várias instâncias de diretivas @import, necessárias para explorar a CVE-2025-66376, e o payload inclui um script final cifrado por XOR codificado num payload interno Base64.
A exfiltração é feita por uma ferramenta dedicada. Ulej é uma nova capacidade de exfiltração e agregação de dados que atualmente suporta uma campanha especificamente dirigida a utilizadores de servidores de webmail ZCS; é usada para explorar a CVE-2025-66376 mas provavelmente poderia ser adaptada para explorar outras vulnerabilidades. A campanha usa a capacidade personalizada Ulej, desenvolvida para explorar o ZCS e exfiltrar informação sensível, sendo os dados enviados para infraestrutura associada ao framework Flowerbed — um projeto Python que usa Docker e inclui quatro contentores (Catcher, Certbot, Nginx e Gardener), onde o Catcher recebe e agrega a informação roubada e o Nginx opera como proxy inverso HTTPS, com o framework a usar canais DNS e HTTPS para exfiltração.
Um dado que reforça a sofisticação da operação: o relatório também notou indicações de que a inteligência artificial pode ter tido um papel no desenvolvimento do código do Flowerbed, destacando o uso crescente de IA no desenvolvimento de capacidades maliciosas.
Cronologia da campanha
| Data | Acontecimento |
|---|---|
| Julho de 2025 | Início da exploração da falha, então um zero-day sem correção disponível |
| Novembro de 2025 | Zimbra corrige a CVE-2025-66376 nas versões 10.0.18 e 10.1.13 |
| Março de 2026 | CISA adiciona a falha ao catálogo KEV com prazo de remediação |
| 22–23 de julho de 2026 | Publicação do aviso conjunto internacional (CISA/NSA/FBI e NCSC com 15 parceiros) |
Quem é o LAUNDRY BEAR
A identidade do grupo tem várias designações consoante o investigador, o que é comum em ameaças estatais. O grupo LAUNDRY BEAR foi atribuído pela primeira vez a ataques de ciberespionagem em maio de 2025 pelas agências de informações neerlandesas, que o associaram publicamente a um comprometimento de 2024 da Polícia Nacional dos Países Baixos que expôs dados pessoais de pessoal policial e levou à identificação de um grupo de espionagem russo até então desconhecido; a Microsoft segue o mesmo grupo sob o nome Void Blizzard. Pelo menos desde 2024, o grupo tem-se focado na recolha de informações contra organizações alinhadas com interesses estratégicos russos, visando sobretudo Estados-membros da NATO e a Ucrânia, e a Microsoft documentou também comprometimentos bem-sucedidos de organizações que apoiam a Ucrânia, incluindo nos setores da defesa, transportes e aviação.
Convém sublinhar que os investigadores mantêm cautela sobre a correspondência exata entre nomes. O aviso associa a atividade principalmente ao LAUNDRY BEAR, listando também Void Blizzard, CL-STA-1114 e TA488 como nomes usados na comunidade, ao mesmo tempo que alerta que esses rótulos podem não corresponder um-para-um, e o número total de vítimas da campanha e a relação precisa entre os clusters de atores nomeados permanecem por confirmar. As agências indicaram ainda um padrão preocupante: as técnicas foram amplamente testadas em organizações ucranianas antes de serem usadas contra nações ocidentais.
Mitigações recomendadas
- Atualizar imediatamente qualquer instalação Zimbra para as versões corrigidas (10.0.18 ou 10.1.13, ou superiores) e não deixar servidores ZCS expostos à Internet por corrigir.
- Além de corrigir de imediato a vulnerabilidade, os administradores de sistemas devem estar atentos a atividade suspeita.
- Considerar o uso de um serviço de autenticação de terceiros que suporte passkeys para mediar o acesso ao ZCS e a outros serviços que não suportem passkeys nativamente, o que ajuda a eliminar a possibilidade de os atacantes usarem credenciais roubadas para aceder aos servidores.
- Reforçar a monitorização do serviço de correio e procurar indicadores de comprometimento associados a Ulej/Flowerbed e a exfiltração por canais DNS e HTTPS.
As agências deixam ainda um aviso sobre a durabilidade da ameaça. As agências alertam que é provável que o “beehive” possa ser adaptado para explorar outras vulnerabilidades e que, à medida que mais organizações atualizam o software ZCS, é muito provável que o grupo procure atingir outros sistemas de correio usados por organizações ocidentais.
Porque é que isto importa em Portugal
Embora o aviso identifique alvos sobretudo em países da NATO e na Ucrânia, o Zimbra é usado por administrações públicas, autarquias, universidades e PME em toda a Europa, incluindo Portugal — o que torna qualquer servidor ZCS exposto e desatualizado um alvo potencial. Para as entidades abrangidas pelo novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2), a gestão de vulnerabilidades e a comunicação de incidentes ao CNCS/CERT.PT são obrigações reforçadas, e uma falha desta natureza — que permite o acesso a caixas de correio inteiras — enquadra-se diretamente nos deveres de gestão de risco previstos nesse regime.
Há também uma dimensão de proteção de dados. Uma vez que a campanha exfiltra emails, contactos, anexos e dados de autenticação, um comprometimento bem-sucedido configura muito provavelmente uma violação de dados pessoais nos termos do RGPD, com potenciais deveres de notificação à CNPD e aos titulares afetados. Para cidadãos e profissionais, a lição transversal é clara: a proteção contra ataques que dispensam interação humana depende menos de “não clicar” e mais de manter o software atualizado, de reduzir a superfície exposta à Internet e de adotar mecanismos de autenticação resistentes ao roubo de credenciais, como as passkeys.
Perguntas frequentes
O que é a vulnerabilidade CVE-2025-66376 no Zimbra?
É uma falha de cross-site scripting (XSS) armazenado na Classic UI do Zimbra Collaboration Suite que permite executar código malicioso apenas quando a vítima abre ou pré-visualiza um email numa versão vulnerável do webmail, sem necessidade de clicar em links ou anexos.
É preciso clicar em algo para ser afetado?
Não é preciso clicar em links ou anexos — basta abrir ou pré-visualizar o email. Por isso alguns investigadores, como a Proofpoint, preferem o termo “half-click” a “zero-click”: a vítima ainda tem de abrir a mensagem, mas nenhuma ação adicional é necessária.
Quem está por detrás desta campanha e a que dados tiveram acesso?
Um alerta conjunto de agências de 16 países, liderado pelo NCSC do Reino Unido e pela CISA dos EUA, atribui a operação ao grupo russo LAUNDRY BEAR (também conhecido como Void Blizzard), que rouba emails, contactos, anexos e dados de autenticação.
Como me posso proteger desta vulnerabilidade?
A Zimbra corrigiu a falha em novembro de 2025, nas versões 10.0.18 e 10.1.13. Se a sua organização usa Zimbra exposto à Internet, deve atualizar imediatamente para uma versão corrigida. Em caso de compromisso, aplicam-se deveres de notificação ao abrigo do RGPD e do Regime Jurídico da Cibersegurança que transpõe a NIS2.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela CISA, NSA, FBI, NCSC do Reino Unido e parceiros internacionais, pela Zimbra e por investigadores de segurança (Unit 42, Proofpoint).