触发DNS查询
e（邮箱）、pw（密码）、pa（应用密码）、2fa（备用码）、c（客户端类型）、v（Zimbra版本）、url（URL）HTTPS通道（大数据量） ：
- POST到
/v/p（JSON数据）或/v/d（二进制数据） - 使用Let's Encrypt证书加密
- 邮件数据以GZIP压缩格式传输
- 包含
X-Filename头：telemetryData_{0-89}.json或zimbra_batch_analytics.json
七、关键IOC汇总
7.1 恶意域名与IP
经过CISA、Proofpoint、Unit 42等多维度情报聚合：
| 域名 | IP | 活跃时间 | 备注 |
|---|---|---|---|
| zmailanalytics[.]com | 216.252.238[.]104 | 2025-07-08 ~ 2025-10-15 | 首个C2 |
| zimbra-metadata[.]com | 216.252.238[.]18 | 2025-08-20 ~ 2025-10-14 | - |
| analyticemailmeter[.]com | 37.120.247[.]228 | 2025-09-24 ~ 2026-03-18 | Cloudflare |
| emailanalytics.com[.]ua | 185.86.79[.]95 | 2025-09-24 ~ 2026-03-18 | 乌克兰顶级域 |
| mailnalysis[.]com | 104.248.134[.]194 | 2025-11-11 ~ 2026-02-17 | DigitalOcean |
| zimbrastat[.]com | 64.226.124[.]190 | 2025-12-18 ~ 2026-03-18 | DigitalOcean |
| zimbrasoft.com[.]ua | 193.238.152[.]66 | 2026-01-20 ~ 2026-03-18 | 乌克兰顶级域 |
| synacorzimbra[.]nl | 216.252.238[.]64 | 2026-02-03 ~ 2026-03-30 | 伪装Synacor官方 |
| istc-cloud[.]com | 194.156.103[.]193 | 2026-02-05 ~ 2026-03-30 | 亚美尼亚IP |
7.2 证书SHA-1哈希
| 关联域名 | 证书SHA-1 | 有效期 |
|---|---|---|
| zmailanalytics[.]com | 2e4f314bc9943cab5005d6fde0b271c74d47bc9d |
2025-07-08 ~ 2025-10-06 |
| \*.i.zimbra-metadata[.]com | c5a72420e7bb308d078e62128430897f82194c95 |
2025-08-20 ~ 2025-11-18 |
7.3 恶意邮件样本SHA-256
98df604ecc57f884a2e6ce3266a0013ad64455cac48442c2312cfa4765007aaf60db9abae75cd8ccc49dd7ea5feb41677566dcd442f12ebc5745ffd2810fb874b1f5beb1175fc5c7d1806a2f0d900eb124c54f0286c5c52b66eea7a6633adb1d1517b3caa495f6c4e832df9c75fc94667e3c233773f7fa4e056d5e30e5ead760
*各样本检出情况：*
| 样本 | 检出率 | 检出厂商 |
|---|---|---|
98df604e... （[email protected]\_22.01.2026.txt） |
12/62 | ALYac、Arcabit、BitDefender、CTX、Emsisoft、eScan、Fortinet、GData、QuickHeal、Rising、Trellix ENS、VIPRE |
60db9abae... （01.eml） |
0/60 | 无检出 |
b1f5beb... （CERT\_20\_11\_2025.eml） |
1/60 | Rising |
1517b3caa... |
1/62 | Rising |
关键发现：
- 第一个样本（目标为乌克兰水利/能源部门）已被12家安全厂商检出，其中多家标记为
Exploit.CVE-2025-66376 - 后三个样本检出率极低，特别是第二个样本（01.eml）在VirusTotal上0/60完全未检出
- Rising（瑞星）是唯一能稳定检出该漏洞的杀毒引擎
- 大量主流安全厂商（卡巴斯基、微软、赛门铁克、ESET等）至今无法检测这些恶意邮件
7.4 恶意发件人
| 邮箱 | 类型 | 说明 |
|---|---|---|
| c.laurent.ejfa@proton[.]me | 攻击者控制 | ProtonMail |
| j.moreau.epsc@proton[.]me | 攻击者控制 | ProtonMail |
| liberty.insights@proton[.]me | 攻击者控制 | ProtonMail |
| @isofts.kiev[.]ua | 被入侵 | 乌克兰机构 |
| @navs.edu[.]ua | 被入侵 | 乌克兰内务部（NAVS） |
7.5 关联邮箱（域名注册）
| 邮箱 | 关联域名 |
|---|---|
| ivanka.zurabishvili@proton[.]me | zmailanalytics.com 等 |
| zmul1@buildandconsulting[.]com | buildandconsulting.com |
| garrysmithme@pinmx[.]net | pinmx.net |
| hostingclient@pinmx[.]net | pinmx.net |
八、归因证据
指向俄罗斯政府支持的关键证据：
1. 攻击目标：优先测试乌克兰，然后扩展到北约国家——与俄罗斯战略利益高度一致
2. 战术演变：从简单技术（购买凭证）向复杂技术（零日漏洞开发）演进——表明获得国家级资源支持
3. 攻击时机：2024年4月起针对乌克兰和北约目标，2025年7月获得零日漏洞能力——资源充足的国家级情报机构
4. 官方确认：
- 美国联邦起诉书确认相关组织与俄罗斯情报机构有关联，并关联至Yutek-NN公司
- 荷兰AIVD/MIVD在2025年5月首次公开披露
- 与微软的Void Blizzard追踪完全重叠
- 16国情报机构联合归因
5. 英国安全大臣Dan Jarvis评论：“这些行为者是'暴徒'，尤其令人担忧的是，他们的攻击方法先在乌克兰进行测试，然后才转向针对联盟成员国。”
九、紧急处置建议
如果您的组织正在使用Zimbra邮件系统，请立即执行以下操作：
立即行动（优先级最高）
1. 立即升级Zimbra
升级到 10.0.18 或 10.1.13 及以上版本。
2. 如无法立即打补丁
- 强制用户使用Modern UI，立即禁用Classic UI
- 或建议用户使用其他邮件客户端（如Outlook）
深度排查
3. 检查Zimbra日志（/opt/zimbra/log/mailbox.log）
# 查找应用密码创建事件grep -i \"CreateAppSpecificPasswordRequest\" /opt/zimbra/log/mailbox.log*
# 查找名为\"ZimbraWeb\"的应用密码grep -i \"ZimbraWeb\" /opt/zimbra/log/mailbox.log*
# 查找大量GAL枚举（20批SOAP请求）grep -i \"SearchGalRequest\" /opt/zimbra/log/mailbox.log* | wc -l
# 查找2FA备用码窃取grep -i \"GetScratchCodesRequest\" /opt/zimbra/log/mailbox.log*
# 查找IMAP强制启用grep -i \"zimbraPrefImapEnabled\" /opt/zimbra/log/mailbox.log*
4. 检查浏览器LocalStorage
在Zimbra页面的开发者工具Console中执行：
for (var i = 0; i < localStorage.length; i++) { var key = localStorage.key(i); if (key && key.startsWith('zd_comp_')) { console.log('⚠️ 发现入侵痕迹:', key); }}
如果发现 zd_comp_YYYY-MM-DD 格式的键值，说明该账户已被入侵，这些键记录了攻击者已窃取的邮件日期。
5. 检查并撤销所有名为“ZimbraWeb”的应用密码
6. 检查DNS日志中是否存在d-[随机字符]模式的异常查询
7. 全面排查恶意邮件
使用CISA提供的SHA-256哈希在邮件网关中搜索恶意邮件样本。
8. 检查邮件转发规则
攻击者可能设置了邮件转发规则，将特定邮件实时转发到攻击者控制的邮箱。
长期加固
- 实施防钓鱼MFA（FIDO2硬件令牌），避免使用短信或电话MFA
- 监控大量出站数据流向VPS提供商IP
- 监控异常子域名DNS查询
- 告知用户：HTML邮件本身可能携带恶意代码，即使没有附件和链接的邮件也不安全
附录：参考链接
- CISA官方通告（AA26-204A） ：https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-204a-
- CISA KEV目录（CVE-2025-66376） ：https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search=CVE-2025-66376
- Proofpoint完整报告：https://www.proofpoint.com/us/blog/threat-insight/ta488-zcs-exploit
- 微软Void Blizzard报告：https://www.microsoft.com/en-us/security/blog/2025/05/27/new-russia-affiliated-actor-void-blizzard-targets-critical-sectors-for-espionage/
- 荷兰AIVD/MIVD报告：https://www.aivd.nl/site/binaries/site-content/collections/documents/2025/05/27/aivd-en-mivd-onderkennen-nieuwe-russische-cyberactor/Advisory+AIVD+en+MIVD+Public+report+on+new+cyber+actor.pdf
- Seqrite Operation GhostMail报告：https://www.seqrite.com/blog/operation-ghostmail-zimbra-xss-russian-apt-ukraine/
- Palo Alto Unit 42报告：https://unit42.paloaltonetworks.com/russian-webmail-espionage/
- BleepingComputer报道：https://www.bleepingcomputer.com/news/security/russian-hackers-exploit-zimbra-zero-click-flaw-for-email-theft/
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论