Se han identificado cuatro grupos diferentes que están explotando una vulnerabilidad de día cero en el software de correo electrónico de Zimbra Collaboration. Esta falla se está utilizando para robar datos de correo, credenciales de usuarios y tokens de autenticación.
Vulnerabilidad CVE-2023-37580
La vulnerabilidad, identificada como CVE-2023-37580, es una vulnerabilidad de XSS con puntuación CVSS de 6.1. Afecta a versiones anteriores a 8.8.15 Patch 41, que Zimbra abordó como parte de los parches lanzados el 25 de julio de 2023.
La explotación exitosa de esta vulnerabilidad podría permitir la ejecución de scripts maliciosos en el navegador web del usuario. Esto se logra engañando al usuario para que haga clic en una URL especialmente diseñada, lo cual inicia la solicitud XSS a Zimbra y refleja el ataque al usuario.
Actividad de los grupos
Google Threat Analysis Group (TAG) informó que la mayor parte de esta actividad ocurrió después de que la solución inicial se hiciera pública en GitHub. El grupo TAG atribuyó el descubrimiento y el informe del error al investigador Clément Lecigne.
Se detectaron múltiples oleadas de campañas a partir del 29 de junio de 2023, al menos dos semanas antes de que Zimbra emitiera un aviso. Tres de las cuatro campañas se observaron antes del lanzamiento del parche, y la cuarta campaña se detectó un mes después de que se publicaran las correcciones.
Campañas específicas
La primera campaña se dirigió a una organización gubernamental en Grecia. Se envió un correo electrónico con una URL de explotación, lo cual permitió la entrega de malware observado previamente en una operación denominada EmailThief en febrero de 2022.
El conjunto de intrusión, cuyo nombre en código es Volexity TEMP_HERETIC, también aprovechó esta vulnerabilidad para llevar a cabo los ataques.
Un tercer grupo no identificado explotó la vulnerabilidad antes del lanzamiento del parche el 25 de julio. Se utilizó para robar credenciales pertenecientes a una organización gubernamental en Vietnam. La URL del exploit apuntaba a un script que mostraba una página de phishing y publicaba las credenciales robadas en una URL alojada en un dominio oficial del gobierno, probablemente comprometido por los atacantes.
Una organización gubernamental en Pakistán fue atacada utilizando la vulnerabilidad el 25 de agosto. Esto resultó en la exfiltración del token de autenticación Zimbra a un dominio remoto llamado ntcpk[.]org.
Actor Winter Vivern
El segundo actor de amenazas que explota CVE-2023-37580 es Winter Vivern. Atacó a organizaciones gubernamentales en Moldavia y Túnez poco después de que se enviara un parche para la vulnerabilidad a GitHub el 5 de julio.
Este colectivo adversario ha sido vinculado con la explotación de vulnerabilidades de seguridad en Zimbra Collaboration y Roundcube por parte de Proofpoint y ESET este año.
Conclusión
Google TAG señaló un patrón en el que los actores de amenazas explotan regularmente las vulnerabilidades XSS en los servidores de correo. Esto requiere que dichas aplicaciones sean auditadas minuciosamente.
El descubrimiento de al menos cuatro campañas que explotan CVE-2023-37580, tres de las cuales se llevaron a cabo después de que el error se hiciera público por primera vez, demuestra la importancia de que las organizaciones apliquen correcciones a sus servidores de correo lo antes posible.
Estas campañas también resaltan cómo los atacantes monitorean los repositorios de código abierto para explotar de manera oportunista las vulnerabilidades donde la solución está en el repositorio, pero aún no se ha entregado a los usuarios.