كتبت: إسراء الشامي
استغلت مجموعة تجسس مدعومة من الدولة الروسية ثغرة غير معروفة في عميل البريد الإلكتروني زيمبرا، لقضاء أشهر في قراءة صناديق البريد الغربية. تُركّز الهجمات على رسائل البريد الإلكتروني خلال 90 يومًا الماضية، بالإضافة إلى دليل البريد الإلكتروني الكامل للمنظمة، وكلمات المرور المحفوظة في المتصفح، وكذلك رموز استرداد التوثيق الثنائي.
تظهر التحقيقات أن فتح أي رسالة كانت كافيًا لإطلاق الهجوم. وقد نشر كل من وكالة الأمن القومي الأمريكية (NSA) ووكالة أمن البنية التحتية للأمن السيبراني (CISA) وإدارات شريكة، تحذيرًا مشتركًا حول هذه الحملة الخميس، إلى جانب أبحاث من وحدة 42 التابعة لشركة بالو ألتو والشركة المعروفة برووف بوينت.
تُسمّى التقنية المستخدمة في الهجوم “استغلال يعتمد على العرض ويحتاج فقط إلى أن يقوم المستخدم بعرض بريد إلكتروني ضار” في عميل معرض للخطر. وبحسب التحذيرات، استهدفت هذه المجموعة الحكومات الغربية والمنظمات التجارية عبر زيمبرا منذ يوليو 2025 على الأقل.
تشمل الثغرة المعروفة تحت اسم CVE-2025-66376 ضعفًا في أمان تشفير النصوص الثنائية المخزنة في واجهة المستخدم الكلاسيكية لزيمبرا. تستغل هذه الهجمات بريدًا إلكترونيًا مُعدًا بشكل خاص ليقوم بتشغيل جافا سكريبت داخل جلسة البريد الإلكتروني المصادق عليها، مما يعطي الجاني الحق في الوصول إلى صندوق بريد الضحية.
تمتاز الثغرة، بحسب توثيق نظام قاعدة بيانات الثغرات (NVD)، بمعدل خطورة بلغ 6.1، بينما سجلتها مؤسسة MITRE بمعدل 7.2، حيث يصفها فريق وحدة 42 بأنها تستغل بدون نقر. وبذلك، تعمل الحملة بمجرد عرض الرسالة ولا حاجة لأي خطوة إضافية.
استحدثت زيمبرا إصلاحًا لهذه الثغرة في 6 نوفمبر 2025، بينما أضافت CISA الثغرة إلى دليل الثغرات المعروفة المستغلة في 18 مارس 2026. وحسب تقرير برووف بوينت، استخدمت المجموعة الثغرة كـ ضعف غير معروف لفترة لا تقل عن خمسة أشهر في عام 2025، قبل إصدار الإصلاح.
التحليل يُظهر أن العديد من الرسائل الضارة أُرسلت من حسابات بروتون ميل التي يسيطر عليها الجناة، ومن حسابات سابقة تم اختراقها، وجاءت بمحتوى عشوائي. كما تتبع وحدة 42 النشاط تحت رمز CL-STA-1114، حيث كانت غالبًا تتنكر كموجز أخبار حالية.
تقنية الاستغلال تتواجد في جسم HTML، حيث تخفي علامة svg داخل قسم مُعطّل، وتقوم بتفتيت العلامة باستخدام توجيهات @import زائفة وتعليقات HTML. وبذلك لا يكتشف مُعقّم زيمبرا أجزاء الشيفرة ككود قابل للتنفيذ، فتزيل تسلسلات @import، بينما تنضم الأحرف المتبقية لتشكل شيفرة قابلة للتنفيذ.
تصدر برووف بوينت عن أن الشيفرة الجافا التي تستخدم في الهجوم معروفة باسم “ZimReaper”. وتقوم بسرقة رموز الجلسة وكلمة المرور المُخزّنة من المتصفح، وتستخرج رموز الاسترداد عبر واجهات برمجة التطبيقات الخاصة بالمنصة.
تضمنت الحملة محاولة حجم العنوان العالمي، حيث تمسح البيانات كل توليفة من حرفين حتى تُسترجع كافة قوائم العناوين. ونقل الضحية 90 يومًا من البريد إلى مُخدم السيطرة في صورة أرشيف TGZ.
لم تُحدد وحدة 42 عدد الضحايا أو الأهداف بدقة، إلا أنها أكدت أن الهجمات استهدفت العديد من القطاعات بما فيها الحكومية والدفاع والنقل والمال في دول الناتو وأوكرانيا وأفريقيا.
تشير التقارير إلى أن برووف بوينت أدرجت أيضًا منظمات أمريكية ضمن هذه القائمة المستهدفة. عباس حسابات البريد تتضمن سيطرة على كلمة مرور خاصة بالتطبيق تُدعى ZimbraWeb، مما يمنح وصول IMAP أو POP3 أو SMTP دون الحاجة إلى التوثيق الثنائي.
دفعت هذه التقارير إلى تحذيرات من سلوكيات تهاجم أنظمة البريد الإلكتروني الغربية، مع توقع استمرار هذه المجموعات في استغلال الأخطاء حتى بعد استصدار تحديثات التصحيح من قبل الشركات. تظل موضوعات الأمان السيبراني محور اهتمام كبير حيث تتزايد المخاطر المرتبطة بالبريد الإلكتروني.
يمكنك قراءة المزيد في المصدر.
لمزيد من التفاصيل اضغط هنا.