Avec cette attaque des pirates ciblant Zimbra , un simple affichage d’un e-mail pouvait suffire à compromettre un système, sans clic ni téléchargement.
Recevoir un e-mail suspect est devenu presque banal. En revanche, être infecté simplement en l’ouvrant relève d’un tout autre niveau de menace. C’est pourtant ce qu’ont découvert les chercheurs de Proofpoint, qui ont mis au jour une campagne d’espionnage menée par le groupe TA488.
Grâce à une faille zero-day dans Zimbra, des organisations stratégiques auraient été surveillées pendant plus d’un an. Voici comment cette attaque fonctionnait et pourquoi elle rappelle que les messageries professionnelles restent une cible de choix.
Des pirates exploitent une faille de Zimbra sans le moindre clic
Habituellement, une attaque par e-mail repose sur une erreur de la victime. Un lien malveillant, une pièce jointe piégée ou un document à ouvrir. Cette fois, rien de tout cela.
Selon Proofpoint, le groupe TA488, également connu sous les noms de Laundry Bear ou Void Blizzard, a exploité une vulnérabilité zero-day référencée CVE-2025-66376 dans la plateforme de messagerie Zimbra. Cette faille de type XSS (Cross-Site Scripting) permettait d’exécuter du code malveillant dès qu’un utilisateur affichait un e-mail spécialement conçu.
Les chercheurs parlent d’une attaque de type « demi-clic ». En pratique, la victime n’avait même pas besoin d’interagir avec le message. Le simple fait de le consulter dans l’interface web de Zimbra suffisait à ouvrir la porte aux attaquants.
La vulnérabilité a reçu un score de gravité de 7,2 sur 10 et a été corrigée par Zimbra en novembre 2025. Le problème, c’est que les cybercriminels l’exploitaient déjà bien avant la publication du correctif.
Ils visaient des organisations militaires et gouvernementales
D’après le rapport de Proofpoint, cette campagne d’espionnage ciblait principalement des organisations occidentales sensibles. Parmi les victimes figuraient notamment l’OTAN, des administrations ukrainiennes ainsi que des entreprises du secteur de la défense.
Une fois le système compromis, les attaquants conservaient un accès durable aux comptes concernés. Leur objectif allait bien au-delà de la simple lecture des messages. Ils cherchaient également à récupérer des mots de passe, des annuaires de messagerie, des jetons d’authentification à deux facteurs et d’autres informations susceptibles de faciliter de nouvelles intrusions.
Les chercheurs estiment que cette opération était active depuis au moins un an. Une durée qui montre à quel point certaines campagnes d’espionnage peuvent rester discrètes lorsqu’elles exploitent des failles encore inconnues des éditeurs.
Un autre détail retient l’attention. Proofpoint indique n’avoir observé aucune activité du groupe TA488 après février 2026. Cette disparition coïncide avec la publication d’une analyse détaillée de son infrastructure par les chercheurs de Seqrite.
Selon Proofpoint, cette divulgation aurait poussé les opérateurs à abandonner leurs infrastructures et à mettre fin à leurs activités, du moins sous cette identité.
Cela ne signifie pas pour autant que la menace a disparu. Les campagnes d’espionnage attribuées à des groupes soutenus par des États évoluent régulièrement, changent de nom et adoptent de nouvelles méthodes lorsque les anciennes sont découvertes.
- Partager l'article :
