LAUNDRY BEAR – Wie eine russische Hackergruppe E-Mails stiehlt, ohne dass jemand klickt

Am 7. August 2026 veröffentlichte Fox News einen Artikel mit der reißerischen Überschrift „Russian hackers can steal emails without a click“. Klingt nach Clickbait, ist es aber, technisch gesehen, kaum. Denn genau das ist der Kern des folgenden Artikels.
LAUNDRY BEAR, eine russische, staatlich unterstützte Hackergruppe, deren jüngste Kampagne nicht mal mehr einen Klick auf den falschen Link benötigt. Ihnen reicht es, wenn Sie eine E-Mail öffnen.

Was ist ein „LAUNDRY BEAR“?

LAUNDRY BEAR ist der Name, den der niederländische In- und Auslands-Nachrichtendienst AIVD und der Militärgeheimdienst MIVD dieser Gruppe gegeben haben. In der Sicherheitsbranche kursieren parallel weitere Bezeichnungen für vermutlich dieselbe Gruppe. Aktiv ist die Gruppe nach aktuellem Kenntnisstand bereits seit mindestens April 2024, öffentlich benannt wurde sie erst im Mai 2025.

Die Behörden vermuten hinter der Gruppe ein klares Motiv: Spionage. Es gibt keine Hinweise auf finanzielle Erpressung, dafür aber auf ein sehr gezieltes, systematisches Abgreifen von E-Mail-Kommunikation. Klassische Nachrichtendienstarbeit im digitalen Gewand, mutmaßlich mit Rückendeckung der russischen Regierung.

Im Fadenkreuz stehen dabei keineswegs nur Regierungsstellen. Besonders häufig betroffen sind Organisationen aus:

• Rüstungsindustrie
• Bildung
• Energie
• Strafverfolgung
• Medien
• NGOs
• Technologie

Auffällig ist außerdem ein Muster, das die Behörden explizit hervorheben: Bevor die Gruppe westliche NATO-Staaten ins Visier nimmt, testet sie ihre Methoden offenbar bevorzugt zuerst an ukrainischen Zielen, die Ukraine dient quasi als Versuchslabor für neue Angriffstechniken.

Vom Phishing-Klick zum Zero-Click-Exploit

Die Anfänge von LAUNDRY BEAR waren technisch eher unspektakulär. Frühe Kampagnen, dokumentiert seit Mai 2025, setzten auf klassisches Password Spraying, Phishing-Seiten und gestohlene Zugangsdaten aus dem Untergrund. Ein Beispiel: eine gefälschte Anmeldeseite, die wie das Registrierungsportal eines europäischen Verteidigungs- und Sicherheitsgipfels aussah. Wer dort seine Microsoft-Zugangsdaten eingab, lieferte sie über eine modifizierte Version des Open-Source-Tools Evilginx direkt an die Angreifer, inklusive Sitzungs-Cookies, mit denen sich sogar Zwei-Faktor-Authentifizierung umgehen ließ.

Ab Juli 2025 änderte sich das Bild grundlegend. LAUNDRY BEAR begann, eine selbst entwickelte Schadsoftware namens „Улей“ / „Ulej“, russisch für „Bienenstock“, gezielt gegen Unternehmen einzusetzen, die die Zimbra Collaboration Suite als Webmail-Lösung nutzen. Dafür nutzte Ulej die CVE-2025-66376, die zum Zeitpunkt eine Zero-Day Schwachstelle war. Erst im Januar 2026 wurde die Schwachstelle offiziell in der National Vulnerability Database veröffentlicht, gepatcht wurde sie in den ZCS-Versionen 10.1.13 und 10.0.18.

Technisch handelt es sich um die gespeicherte Cross-Site-Scripting-Lücke, Stored XSS, CWE-79, im Classic Web Client von Zimbra. Der Webmail-Client bereinigt bestimmte CSS-@import-Anweisungen in eingehenden E-Mails nicht sauber. Wie raffiniert das im Detail umgesetzt wurde, hat der Sicherheitsanbieter Proofpoint unter dem Kampagnen-Namen „TA488“ rekonstruiert:

Das eigentliche Schadelement, ein <svg onload=…>-Tag, welches JavaScript ausführt, wird nicht als Ganzes verschickt, sondern in einzelne Fragmente zerlegt und in einem unsichtbaren display:none-Div versteckt. Dazwischen streut der Angreifer bewusst nutzlose @import-Anweisungen und HTML-Kommentare. Zimbras Filter erkennt die einzelnen Bruchstücke nicht als ausführbaren Code und entfernt nur die eingestreuten @import-Sequenzen – übrig bleibt exakt das lauffähige <svg onload=eval(atob(…))>-Tag, das der Browser anschließend ganz normal ausführt. Proofpoint nennt diese Verschleierungstechnik „Tag-Splitting“. Der innere Payload ist zusätzlich Base64-kodiert und XOR-verschlüsselt.

Auch bei der Frage, wie viel Nutzerinteraktion es eigentlich braucht, gehen die offiziellen Bewertungen auseinander. Die NVD vergibt einen CVSS-Wert von 6.1 und geht von notwendiger Nutzerinteraktion aus, MITRE bewertet dieselbe Lücke mit 7.2 und verneint das. Unit 42 von Palo Alto Networks bezeichnet den Angriff schlicht als „Zero-Click“.
In der Praxis läuft es für das Opfer aufs Gleiche hinaus, die E-Mail wird geöffnet, der Code läuft, aber mehr passiert aus seiner Sicht nicht.

Was im Hintergrund passiert

Ist der durch Ulej eingebrachte Code einmal aktiv, arbeitet er den CISA-Erkenntnissen zufolge in zwölf automatisierten Schritten ab und sammelt dabei:

• die E-Mails der letzten 90 Tage – alles außer dem Papierkorb/Junk-Ordner
• die E-Mail-Adresse des Opfers
• im Passwortmanager hinterlegte, automatisch ausgefüllte Passwörter öm
• die komplette globale Adressliste der Organisation
• Zwei-Faktor-Scratch-Codes
• ein neu erstelltes Application Passcode. Eine Art Zweit-Passwort, das Zimbra für E-Mail-Clients ohne 2FA-Unterstützung wie IMAP vorsieht

Für dauerhaften Zugriff und Persistenz, aktiviert das Skript im Hintergrund per SOAP-Request stillschweigend den IMAP-Zugang des Kontos und erstellt ein eigenes Application Passcode mit dem Namen „ZimbraWeb“. Damit bleibt der Zugriff bestehen, selbst wenn das Opfer später sein Passwort ändert. Ein Umstand, den viele Betroffene erst zu spät bemerken dürften.

Beim Diebstahl der globalen Adressliste geht die Malware stur-systematisch vor. Sie testet per Brute-Force alle möglichen Zwei-Zeichen-Kombinationen aus einem Zeichensatz von Buchstaben, Zahlen und ein paar Sonderzeichen, aufgeteilt auf 20 Anfragen-Batches. Wenig elegant aber offenbar effektiv.

Ulej, ZimReaper, CL-STA-1114: viele Forscher und viele Namen

Praktisch jeder Sicherheitsanbieter, der die Kampagne unabhängig analysiert hat, vergibt eigene Namen für Akteur und Schadsoftware. CISA nennt die Malware „Ulej“, Proofpoint bezeichnet exakt dieselbe JavaScript-Payload als „ZimReaper“ und führt den Akteur unter der Bezeichnung TA488. Unit 42 wiederum spricht von CL-STA-1114. Ob es sich bei all diesen Namen tatsächlich um dieselbe Gruppe handelt, ist zwar nicht restlos geklärt aber die Behörden selbst weisen in ihrer Warnung ausdrücklich darauf hin, dass die Zuordnung der verschiedenen Trackingnamen zueinander nicht zwangsläufig eins zu eins passt.
Immerhin: Ein Abgleich der veröffentlichten Indikatorenlisten zeigt, dass Unit 42 (CL-STA-1114) und Proofpoint (TA488) dieselben neun Command-and-Control-Domains nennen, somit beschreiben die beiden Namen zumindest dasselbe Intrusion Set.

Unit 42 liefert dazu noch handfeste Infrastruktur-Zahlen, mindestens neun C2-IP-Adressen und neun Domains, jeder Server im Schnitt nur 35,4 Tage aktiv, bevor die Gruppe weiterzieht. Als betroffene Sektoren und Regionen nennt Unit 42 Regierungsstellen, Verteidigung, Transport und Finanzwesen in NATO-Staaten, der Ukraine, den GUS-Staaten und Afrika. Proofpoint ergänzt für die USA gezielt Regierungs-, Wissenschafts- und Rüstungsorganisationen, darunter auch Einrichtungen mit Bezug zu Nuklearanlagen.

Noch komplizierter wird die Zuordnungsfrage durch einen Fall aus dem Januar 2026.
Der Sicherheitsanbieter Seqrite dokumentierte unter dem Namen „Operation GhostMail“ einen Angriff auf eine ukrainische Behörde für Hydrologie, bei dem exakt dieselbe Schwachstelle ausgenutzt wurde, ordnete die Aktivität aber nur mit mittlerer Konfidenz der bereits länger bekannten Gruppe APT28 zu. Der niederländische In- und Auslands-Nachrichtendienst AIVD, der den Namen LAUNDRY BEAR geprägt hat, behandelt LAUNDRY BEAR und APT28 hingegen ausdrücklich als zwei getrennte Akteure. Für Verteidiger ändert dieser Namensstreit am Ende wenig.

Wohin verschwinden die Daten?

Die gestohlenen Informationen landen auf einer eigens dafür angemieteten Serverinfrastruktur, die die Angreifer selbst „Flowerbed“ nennen. Ein containerisiertes Python-Projekt mit vier Docker-Komponenten: einem Empfangsdienst („Catcher“), einer Zertifikatsverwaltung über Let’s Encrypt, einem Nginx-Reverseproxy zur Verschlüsselung des Datenverkehrs und einer simplen Gesundheitsprüfung („Gardener“). Die Server werden meist nur 7 bis 60 Tage genutzt, bevor die Gruppe auf neue Infrastruktur umzieht, typisch um Entdeckung zu erschweren.

Interessant am Rande: der Quellcode von Flowerbed zeigt Anzeichen dafür, mit Unterstützung von KI entwickelt worden zu sein. Zusammen mit der Wiederverwendung von Open-Source-Werkzeugen wie Evilginx deutet das eher auf eine Gruppe mit begrenzten eigenen Entwicklungskapazitäten hin als auf ein hochspezialisiertes Elite-Team.

Der Datenabfluss selbst läuft über zwei Kanäle parallel: unauffällige DNS-Anfragen für kleinere Datenmengen, Base32-kodiert und verschlüsselte HTTPS-Verbindungen für den großen Rest, inklusive der komprimierten E-Mail-Archive.

Was sollten betroffene Organisationen tun?

Die Behörden formulieren ihre Empfehlungen unmissverständlich:

1. Sofort Patchen Wer ZCS 10.1.13 oder 10.0.18 noch nicht eingespielt hat, sollte das mit höchster Priorität nachholen.
2. Wo Patchen kurzfristig nicht möglich ist: auf alternative Mail-Clients ausweichen und den klassischen Zimbra-Webclient meiden.
3. Passkeys statt Passwort-Autofill einsetzen, um das automatische Abgreifen von Zugangsdaten durch Passwortmanager-Interception zu verhindern.
4. Netzwerkverkehr überwachen: etwa ungewöhnlich hohe ausgehende Datenmengen zu VPS-Anbietern, auffällige DNS-Anfragen mit zufällig wirkenden Subdomains oder Verbindungen über bekannte VPN-Dienste wie Mullvad, den die Gruppe bevorzugt nutzt.
5. Bei Verdacht auf Kompromittierung: sämtliche Application Passcodes und 2FA-Scratch-Codes zurückziehen, Passwörter organisationsweit ändern und gezielt nach Application Passcodes mit dem Namen „ZimbraWeb“ suchen, ein legitimes vorkommen dieser ist ausgeschlossen.

Wichtig: Ein reines Update schließt nur das Einfallstor, es bringt aber nichts zurück, was vorher bereits durch das Tor gegangen ist. Oder sich in Form von Zugängen eingenistet hat.

Wer wissen will, ob er schon betroffen war, sollte laut Proofpoint und Seqrite gezielt nachsehen:

• im Datei /opt/zimbra/log/audit.log nach Aufrufen von CreateAppSpecificPassword suchen und Zugangsdaten mit dem Namen „ZimbraWeb“ entfernen,
• Konten identifizieren, bei denen zimbraPrefImapEnabled ohne erkennbaren geschäftlichen Grund auf TRUE steht,
• SOAP-Aufrufe von GetScratchCodesRequest überwachen, die im Normalbetrieb praktisch nie vorkommen sollten,
• den DNS-Verkehr auf die veröffentlichten C2-Domains sowie auf auffällig lange, zufällig wirkende Subdomain-Anfragen prüfen,
• und E-Mails, die zwar zugestellt, aber nie geöffnet wurden, per YARA-Regel (von Proofpoint veröffentlicht) auf das fragmentierte @import-Muster hin durchsuchen.

Beim Patchen selbst lohnt sich ein zweiter Blick auf die Versionsnummer: Zimbra 10.0 erreichte am 31. Dezember 2025 offiziell das Support-Ende, Version 10.0.18 ist also bestenfalls eine Notlösung. Wer kann, sollte direkt auf einen aktuellen 10.1-Build wechseln, die neueste Version 10.1.20, Stand 20. Juli 2026, schließt zusätzlich vier weitere, bis dahin unbekannte Stored-XSS-Lücken im Classic Web Client.

Fazit

Fox-News hat passend zusammengefasst, was CISA in ihrer Warnung bentont: LAUNDRY BEAR hat sich von plumpem Credential-Phishing zu einer Gruppe entwickelt, die einen echten Zero-Day-Exploit operationalisieren konnte und das, obwohl ihre technischen Fähigkeiten insgesamt eher als durchschnittlich gelten. Sie zeigen also, dass man kein Elite-Hackerteam sein um mit der richtigen Schwachstelle maximalen Schaden anzurichten. Für Organisationen, die Zimbra einsetzen, bedeutet das vor allem eins: Patchen ist hier die einzige wirksame Verteidigungslinie gegen einen Angriff, bei dem das Opfer buchstäblich nichts falsch machen muss.

Quellen:

• CISA/NSA/FBI et al., Cybersecurity Advisory AA26-204A, „Russian State-Supported Cyber Actors Conduct Phishing Campaign Targeting Users of Zimbra Collaboration Suite“, 23.07.2026 – https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-204a
• Fox News, „Russian hackers can steal emails without a click“, 07.08.2026 – https://www.foxnews.com/tech/russian-hackers-steal-emails-without-click
• The Hacker News, „Russian Espionage Group Exploited Zimbra Zero-Day to Steal Mail and 2FA Codes“, 23.07.2026 – https://thehackernews.com/2026/07/russian-espionage-group-exploited.html
• Palo Alto Networks Unit 42, „Russian Global Webmail Espionage“, 2026 – https://unit42.paloaltonetworks.com/russian-webmail-espionage/
• Proofpoint, „TA488 Targets Zimbra Mailservers with Half-Click Exploits“, 2026 – https://www.proofpoint.com/us/blog/threat-insight/ta488-targets-zimbra-mailservers-half-click-exploits
• Seqrite, „Operation GhostMail: Russian APT exploits Zimbra Webmail to Target Ukraine State Agency“, 2026 – https://www.seqrite.com/blog/operation-ghostmail-zimbra-xss-russian-apt-ukraine/