Badan intelijen dan keamanan siber dari lebih dari satu negara sekutu mengeluarkan advisory bersama yang memperingatkan bahwa aktor ancaman APT state-sponsored Rusia bernama Laundry Bear telah secara aktif mengeksploitasi zero-day pada Zimbra Collaboration Suite untuk menyerang jaringan pemerintah, perusahaan pertahanan, dan organisasi ilmiah di Amerika Serikat dan Ukraina sejak Juli 2025. Serangan ini menggunakan teknik half-click exploit yang hanya memerlukan korban untuk membuka atau melihat pesan email tanpa mengklik link atau lampiran.
APA YANG TERJADI?
Laundry Bear, yang diidentifikasi oleh AIVD Belanda pada Mei 2026 sebagai grup APT state-sponsored Rusia yang berdekatan dengan grup-grup yang lebih dikenal, telah menargetkan pelanggan Zimbra Collaboration Suite sejak Juli 2025 menggunakan zero-day yang dilacak sebagai CVE-2025-66376. Berbeda dengan kampanye phishing tradisional yang memerlukan korban untuk mengklik link atau membuka file, Laundry Bear menggunakan view-based exploit yang hanya memerlukan korban untuk melihat email berbahaya dalam versi webmail yang rentan. Jika email dibuka di Zimbra Webmail, klien webmail yang rentan akan salah menangani HTML dari pesan dan menjalankan JavaScript arbitrer. Exploit kemudian mengumpulkan pesan korban selama 90 hari terakhir dan mengeksfiltrasikannya ke server command-and-control. Proofpoint melaporkan bahwa Laundry Bear menargetkan entitas pemerintah Ukraina, agensi pemerintah AS, perusahaan pertahanan, dan organisasi ilmiah.
DETAIL TEKNIS
CVE-2025-66376 adalah stored XSS vulnerability pada Zimbra Classic UI di mana penyerang bisa menyalahgunakan CSS import directives pada HTML email. Zimbra memperbaiki flaw ini pada November 2025 dengan rilis versi 10.1.13, namun tidak mengungkapkan kerentanan hingga beberapa minggu kemudian. Advisory bersama dari 15 negara menyebutkan bahwa eksploitasi aktif jauh lebih luas dari yang dilaporkan sebelumnya dan berlangsung setidaknya lima bulan pada tahun 2025. Proofpoint melaporkan bahwa exploit kemungkinan besar diberikan kepada Laundry Bear oleh badan intelijen Rusia daripada dikembangkan secara internal. Para peneliti juga memperingatkan bahwa grup ini mungkin menggunakan large language model untuk mengembangkan bypass terhadap patch Zimbra agar bisa terus menargetkan server Zimbra. Serangan ini berakhir pada Februari 2026 setelah deteksi oleh Seqrite, namun Proofpoint mengamati set aktivitas lain yang tidak terklaster juga mengeksploitasi flaw pada server webmail yang belum di-patch.
DAMPAK TERHADAP INDONESIA
Platform email Zimbra banyak digunakan di Indonesia oleh instansi pemerintah, universitas, dan organisasi non-profit sebagai alternatif solusi kolaborasi berbiaya lebih terjangkau dibandingkan Microsoft 365. Teknik half-click exploit yang tidak memerlukan interaksi pengguna selain membuka email sangat berbahaya karena hampir tidak ada defense awareness yang efektif melawannya. Organisasi Indonesia yang menggunakan Zimbra tanpa patching ke versi terbaru atau tanpa migrasi ke Zimbra Modern UI menghadapi risiko eksfiltrasi seluruh isi inbox selama 90 hari hanya karena satu email dibuka. Data yang tersimpan dalam email korporat Indonesia sering kali mencakup informasi strategis, data keuangan, dan komunikasi sensitif yang bernilai tinggi bagi aktor ancaman state-sponsored.
REKOMENDASI MITIGASI
Pelanggan Zimbra Collaboration Suite harus segera memperbarui ke versi 10.1.13 atau lebih baru yang telah memperbaiki CVE-2025-66376. Jika patching tidak memungkinkan segera, administrator disarankan untuk beralih ke webmail client alternatif atau menonaktifkan Zimbra Classic UI. Administrator sistem harus memantau instance Zimbra yang terhubung ke internet untuk tanda-tanda kompromi termasuk aktivitas JavaScript yang tidak biasa dan traffic keluar yang mencurigakan. Penerapan CSP yang ketat pada webmail client bisa membantu mengurangi dampak XSS. Selain itu, email gateway harus dikonfigurasi untuk memblokir email yang berisi CSS import directives yang tidak biasa. Enkripsi email sensitif end-to-end harus dipertimbangkan untuk melindungi konten bahkan jika platform webmail terkompromi.
Analisa Retasan
Laundry Bear menunjukkan evolusi taktik APT Rusia dari metode unsophisticated seperti password spraying menuju eksploitasi zero-day yang sofistikated. AIVD Belanda mencatat bahwa grup ini sebelumnya bergantung pada taktik dasar hingga tahun lalu ketika mereka mulai menggunakan novel exploit yang tidak lagi memerlukan korban untuk melakukan klik. Pergeseran ini menunjukkan akses ke sumber daya dan kemampuan yang biasanya hanya tersedia untuk grup state-sponsored dengan dukungan intelijen. Fakta bahwa exploit kemungkinan besar diberikan kepada Laundry Bear daripada dikembangkan secara internal juga mencerminkan model di mana badan intelijen nasional menyediakan capability kepada grup operasional untuk melakukan collection pada target spesifik. Hal ini mirip dengan model yang diamati pada grup-grup APT Tiongkok dan Korea Utara.
Teknik half-click exploit pada Zimbra sangat berbahaya karena menghancurkan asumsi fundamental security awareness: bahwa membuka email tanpa mengklik link atau lampiran adalah aman. Dalam kasus ini, sekadar melihat email pada webmail client yang rentan sudah cukup untuk mengeksekusi JavaScript arbitrer. Stored XSS melalui CSS import directives adalah vektor yang cerdas karena CSS import adalah fitur yang sah dan sering digunakan pada email HTML yang diformat dengan baik. Memblokir CSS import secara total bisa merusak rendering email yang sah, menciptakan trade-off antara keamanan dan usability. Zimbra yang menunda disclosure CVE selama beberapa minggu setelah patch tersedia juga menunjukkan kurangnya transparansi yang membantu defender memahami risiko dan memprioritaskan patching.
Bagi Indonesia, keberadaan Laundry Bear dan teknik half-click exploit adalah peringatan bahwa platform open-source yang tidak di-patch dengan cepat menjadi vector serangan yang efisien untuk aktor ancaman state-sponsored. Banyak instansi di Indonesia menggunakan Zimbra karena biaya rendah, namun kurangnya tim maintenance yang dedicated sering kali mengakibatkan patching tertunda. Teknik yang tidak memerlukan interaksi pengguna melampaui membuka email berarti bahwa seluruh strategi security awareness tradisional menjadi tidak efektif. Migrasi ke platform dengan model keamanan yang lebih modern, atau setidaknya memastikan patching cepat dan monitoring proaktif, adalah keharusan bagi organisasi yang menangani data sensitif. BSSN harus mengeluarkan advisory nasional yang menyebutkan CVE-2025-66376 secara eksplisit dan memberikan panduan teknis untuk deteksi serta mitigasi.
Sumber: Dark Reading / Proofpoint / CISA
