Hai un server Zimbra in produzione? Perfetto, siediti.
CISA ha appena pubblicato un avviso (AA26-032A) che non puoi ignorare. Il gruppo russo Laundry Bear (noto anche come Void Blizzard o Gamaredon) sta usando una combinazione letale: un zero-click flaw su Zimbra Collaboration + phishing mirato per rubare intere caselle email.
Zero-click significa che l'utente non deve cliccare su niente. Nessun allegato malevolo, nessun link sospetto. L'attaccante invia una mail che il server Zimbra processa automaticamente, e boom — ha le tue credenziali.
Se stai leggendo questo probabilmente hai visto:
La vulnerabilità è già stata sfruttata in natura. Non è una questione di "se", ma di "quando".
Prima di iniziare, assicurati di avere:
/opt/zimbra/log/Se non hai almeno uno di questi, coinvolgi subito chi ce l'ha.
Il primo passo è controllare chi è connesso al momento.
# Come utente zimbra
su - zimbra
zmsoap -z GetActiveSessionsRequestQuesto ti dà un elenco delle sessioni attive. cerca anomalie:
Errori comuni:
/opt/zimbra/bin/zmsoapSe vedi roba sospetta, disconnetti subito:
zmsoap -z KillSessionRequest/by user/nome.utente@tuodominio.itQui trovi le tracce dell'attacco. I log di Zimbra sono in /opt/zimbra/log/.
# Log autenticazione — cerca tentativi multipli o da IP strani
grep -i "authentication failed" /opt/zimbra/log/mailbox.log | tail -100
# Log delle sessioni recenti
grep -i "session" /opt/zimbra/log/mailbox.log | tail -50
# Log degli allegati — cerca upload di file strani
grep -i "attachment" /opt/zimbra/log/mailbox.log | tail -50Cosa cercare:
SELECT, FETCH ripetuti)export o import di mailboxComando utile per IP sospetti:
# Estrai IP unici che hanno fallito l'autenticazione
grep "authentication failed" /opt/zimbra/log/mailbox.log | grep -oE "[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}" | sort | uniq -c | sort -rn | head -20Se vedi IP russi, ucraini o di VPN/proxy pubbliche, hai un problema.
Laundry Bear spesso crea regole di inoltro automatico per intercettare le email. Controlla i filtri di ogni casella:
# Lista le regole di filtro per un utente
su - zimbra -c "zmmailbox -z -m utente@tuodominio.it getFilterRules"
# Lista tutti gli invii automatici (forward)
zmprov ga utente@tuodominio.it zimbraPrefMailForwardingAddressCosa cercare:
Se trovi qualcosa di sospetto:
# Rimuovi un forward malevolo
zmprov ma utente@tuodominio.it zimbraPrefMailForwardingAddress ""
# Rimuovi tutte le regole filtro
zmmailbox -z -m utente@tuodominio.it removeFilterRulesIl zero-day può permettere l'esecuzione di attachment malevoli. Verifica cosa è stato caricato:
# Lista allegati recenti (ultimi 7 giorni)
find /opt/zimbra/store -name "*" -type f -mtime -7 | head -50
# Cerca file eseguibili caricati di recente
find /opt/zimbra/store -type f -mtime -7 \( -name "*.exe" -o -name "*.sh" -o -name "*.vbs" -o -name "*.js" \)I file di Zimbra sono organizzati per ID. Se non sai cosa cercare, concentrati su:
/tmp del server ZimbraQuesto è il momento di assicurarti di essere aggiornato. Controlla la versione:
zmcontrol -v
# Output tipico:
# Release 10.0.5 ZCS, Patch 5
# Release 9.0.0 ZCS, Patch 18vai su Zimbra Support Portal e verifica quale patch è l'ultima disponibile per la tua versione.
Patch note:
Se non puoi patchare subito (capisco, ci sono sistemi che non si possono toccare), almeno:
L'attacco può aver modificato i record DNS per redirigere il traffico. Controlla:
# Verifica record MX
dig MX tuodominio.it +short
# Verifica record SPF
dig TXT tuodominio.it +short
# Verifica record DMARC
dig _dmarc.tuodominio.it +shortCosa non deve cambiare:
Se i DNS sono cambiati (es. nuovi MX che non riconosci), hai un problema serio — probabilmente il dominio è stato compromesso a monte.
Dopo aver fatto i passaggi precedenti, ecco come confermare che il server è pulito:
Test 1: Nessuna sessione sospetta
zmsoap -z GetActiveSessionsRequest | grep -v "127.0.0.1"Nessun risultato = nessuna sessione strana
Test 2: Log puliti
grep -i "error\|failed\|unauthorized" /opt/zimbra/log/mailbox.log | tail -20Solo errori legittimi (es. password sbagliata da utente reale)
Test 3: Forward puliti
zmprov -l getAllAccounts | while read account; do
forward=$(zmprov ga "$account" zimbraPrefMailForwardingAddress 2>/dev/null | grep ":")
if [ -n "$forward" ]; then
echo "$account: $forward"
fi
doneSolo i forward che conosci
Se tutti e tre i test passano, per ora sei a posto. Ma ricorda: "per ora" è la parola chiave.
D: Non ho accesso come utente zimbra, solo come root R: Esegui su - zimbra -s /bin/bash oppure usa sudo -u zimbra prima dei comandi
D: I log sono enormi, il grep impiega una vita R: Usa tail -1000 prima del grep per limitare ai log recenti, oppure zgrep per i log compressi
D: Trovo attività sospetta ma non sono sicuro R: Isola il server dalla rete immediatamente. Contatta il supporto Zimbra e considera di coinvolgere un SOC
D: Non posso patchare subito il server R: Minimizza l'esposizione — disabilita l'accesso admin da internet, limita le sessioni concurrent per utente, attiva 2FA se possibile
D: Come faccio a sapere se la vulnerabilità è stata già sfruttata? R: Cerca nei log attività prima della data del patch. Se vedi sessioni da IP stranieri che non sono tuoi dipendenti in viaggio, è probabile
Il zero-day di Zimbra non è uno scherzo. Laundry Bear è un APT che non si limita a rubare credenziali — ruba intere caselle email, spia conversazioni, usa quelle informazioni per attacchi mirati contro la tua organizzazione.
I 6 step che ti ho dato non sono la soluzione definitiva. Sono il punto di partenza. La vera difesa è:
Se non hai le risorse per farlo internamente, valuta una soluzione che semplifica: MailSniper gestisce la protezione email con sandboxing e analisi real-time, così non devi preoccuparti di patchare manualmente ogni vulnerabilità.
La sicurezza al 100% non esiste. Ma between "non ho fatto niente" e "ho controllato e sono al sicuro", c'è una differenza enorme. Oggi hai fatto il secondo passo.
Team MailSniper
Team MailSniper
Esperti di sicurezza email e protezione aziendale. Il team MailSniper analizza quotidianamente le minacce informatiche per offrire soluzioni all'avanguardia alle aziende italiane.
Scopri chi siamoUn IT manager vede gli alert impazzire il venerdì sera. Nel frattempo, Qilin ransomware sfrutta una falla di autenticazione PAN-OS per infiltrarsi nelle reti aziendali. Cosa è successo, come funziona e quanto è costato.
LeggiUna falla critica in ServiceNow AI Platform permette attacchi remoti senza autenticazione. Per le PMI italiane che usano sistemi ERP cloud, il rischio è concreto: dati dei clienti, fatture, contratti, tutto esposto. Ma la domanda vera è: quanto costa proteggersi rispetto a non fare nulla?
LeggiSe usi SharePoint in azienda, devi sapere che CISA ha appena inserito una nuova falla nel catalogo delle vulnerabilità già sfruttate. Non è allarme generico: è un RCE, cioè qualcuno può letteralmente eseguire codice sul tuo server. Ti spiego cosa fare senza farti prendere dal panico.
LeggiRicevi i nostri articoli e consigli direttamente nella tua casella di posta.
Scopri come MailSniper puo' proteggere le tue email aziendali con tecnologia AI di livello enterprise.