Російські хакери читають пошту без кліків: під ударом Україна та НАТО

Схема експлойту

Експерти з кібербезпеки компанії Proofpoint класифікували використаний метод як half-click exploit, оскільки для зараження системи жертвам не потрібно було виконувати жодних активних дій, завантажувати файли чи переходити за посиланнями.

Атака здійснювалася через уразливість міжсайтового скриптингу XSS у веб-інтерфейсі поштової платформи Zimbra.

Злочинцям вдавалося отримати доступ до комп'ютера одразу після того, як користувач просто відкривав і переглядав отриманий електронний лист.

Проблема безпеки отримала офіційний ідентифікатор CVE-2025-66376 та оцінку суворості 7,2 із 10 (високий рівень).

Хоча розробники випустили виправлення для системи у листопаді 2025 року, російські угруповання вже активно експлуатували цю уразливість задовго до виходу офіційного патчу.

Хто стоїть за атаками та які дані викрадали?

За даними аналітиків, уразливість протягом років використовували різні хакерські групи, однак у конкретній кампанії зафіксовано активність угруповання TA488, також відомого під назвами Laundry Bear та Void Blizzard.

Після успішного проникнення у систему хакери з TA488 закріплювали постійний доступ і системно викрадали інформацію.

Злочинці регулярно атакували державні організації України та країн НАТО, а також підприємства оборонно-промислового комплексу.

Кібершахраїв цікавили такі дані:

• вміст електронних листів цільових користувачів;
• збережені паролі;
• адресати та поштові каталоги;
• токени двофакторної автентифікації 2FA.

Що далі?

Угруповання TA488, ймовірно, припинило свою активність. Дослідники безпеки не зафіксували жодних дій з боку хакерів, починаючи з лютого 2026 року.

Зникнення групи відбулося після того, як фахівці з кібербезпеки компанії Seqrite оприлюднили детальний розбір інфраструктури та методів роботи TA488.

Опублікований аналіз змусив російських хакерів повністю знищити свої інфраструктурні мережі та згорнути діяльність.