Microsoft surprend les pirates informatiques qui exploitent un bug de Zimbra avant sa divulgation

Les attaquants se sont attaqués à un bug critique du serveur de messagerie Zimbra des semaines avant qu’il ne soit révélé publiquement, puis ont volé les informations d’identification, attaqué les boîtes aux lettres et pris un contrôle plus approfondi des systèmes compromis.

Microsoft Threat Intelligence a déclaré avoir suivi l’exploitation de CVE-2026-73570, une vulnérabilité d’injection de commandes non authentifiée dans Zimbra Collaboration Suite qui offre aux attaquants un chemin potentiellement facile vers les serveurs de messagerie exposés.

Aucun mot de passe volé ou aucun employé malheureux cliquant sur un lien douteux n’est requis. Un attaquant peut envoyer un e-mail spécialement conçu à un serveur Internet vulnérable et potentiellement exécuter des commandes, bien que Redmond note que la faille affecte uniquement les serveurs exécutant le package de surveillance SNMP en option de Zimbra avec les notifications activées.

Zimbra a corrigé la faille dans la version 10.1.20 le 20 juillet, mais CVE-2026-73570 n’a été divulgué publiquement que le 13 août. Entre le 28 juillet et le 7 août, Redmond a repéré deux outils d’analyse différents sondant la même partie de Zimbra utilisée plus tard dans les attaques.

Au début, l’activité semble s’être concentrée sur la recherche de serveurs vulnérables et le test de la faille. Les attaquants ont utilisé un ensemble d’utilitaires réseau courants pour faire en sorte que les systèmes vulnérables rappellent l’infrastructure qu’ils contrôlaient, confirmant ainsi qu’ils pouvaient exécuter des commandes.

Une fois qu’ils ont trouvé des serveurs qui jouaient au ballon, les choses sont devenues plus compliquées. L’enquête de Microsoft a révélé que des attaquants déployaient des web shells et des reverse shells, élevaient leurs privilèges, installaient des outils pour un accès à distance persistant et exécutaient du code malveillant directement en mémoire.

Certains ont même fait le ménage après eux. Microsoft a déclaré que les attaquants ont temporairement modifié les autorisations sur les répertoires publics pour installer des shells Web, puis ont ensuite restauré les paramètres d’origine dans une tentative apparente de rendre leur ingérence plus difficile à repérer.

Les intrus ont également exploré les environnements Zimbra plus larges dans lesquels ils ont atterri, identifiant d’autres serveurs de messagerie et recherchant des connexions fiables qu’ils pourraient utiliser pour se déplacer entre eux. Dans certains cas, les relations SSH existantes entre les systèmes Zimbra leur permettaient d’accéder aux serveurs voisins.

Sur au moins une machine compromise, les attaquants ont transformé leur point d’accès initial en accès root. Ils configurent ensuite les choses pour continuer à exécuter des commandes avec les privilèges les plus élevés sans avoir besoin de mot de passe.

Sans surprise, les boîtes aux lettres figuraient également sur la liste de courses. Microsoft a déclaré que les attaquants recherchaient les informations d’identification et les secrets d’authentification Zimbra qui pourraient potentiellement être utilisés pour accéder aux comptes d’utilisateurs. L’un des outils malveillants découverts a été spécialement conçu pour extraire les informations d’identification du compte de service et extraire les informations de boîte aux lettres des bases de données de Zimbra.

Lors d’un autre incident, les attaquants ont regroupé les sauvegardes récentes de boîtes aux lettres dans une archive et ont tenté d’expédier le tout vers Azure Blob Storage à l’aide de l’utilitaire AzCopy de Microsoft. Microsoft a déclaré qu’il ne pouvait pas confirmer, à partir des preuves disponibles, si le transfert avait réellement réussi.

L’entreprise a vu des organisations touchées dans plusieurs régions et secteurs, avec des attaques allant de l’exploitation automatisée à une activité pratique plus délibérée au clavier. Il n’a pas attribué l’activité à un équipage en particulier.

Les administrateurs exécutant des versions antérieures à Zimbra 10.1.20 doivent mettre à jour vers 10.1.20 ou une version ultérieure, tandis que ceux qui ne peuvent pas appliquer les correctifs peuvent réduire leur exposition en supprimant le package SNMP facultatif ou en désactivant les notifications SNMP.

Les attaquants, quant à eux, semblent être arrivés tôt, Microsoft ayant repéré la faille plus de deux semaines avant sa divulgation publique. ®