{"id":66520,"date":"2026-09-08T11:36:18","date_gmt":"2026-09-08T09:36:18","guid":{"rendered":"https:\/\/www.secuinfra.com\/?p=66520"},"modified":"2026-09-08T11:40:07","modified_gmt":"2026-09-08T09:40:07","slug":"laundry-bear-wie-eine-russische-hackergruppe-e-mails-stiehlt-ohne-dass-jemand-klickt","status":"publish","type":"post","link":"https:\/\/www.secuinfra.com\/de\/techtalk\/laundry-bear-wie-eine-russische-hackergruppe-e-mails-stiehlt-ohne-dass-jemand-klickt\/","title":{"rendered":"LAUNDRY BEAR &#8211; Wie eine russische Hackergruppe E-Mails stiehlt, ohne dass jemand klickt"},"content":{"rendered":"<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_87_1 counter-flat ez-toc-counter ez-toc-white ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">[inhalt_uebersetzt]<\/p>\n<span class=\"ez-toc-title-toggle\"><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/www.secuinfra.com\/de\/techtalk\/laundry-bear-wie-eine-russische-hackergruppe-e-mails-stiehlt-ohne-dass-jemand-klickt\/#Was_ist_ein_%E2%80%9ELAUNDRY_BEAR%E2%80%9C\" >Was ist ein &#8222;LAUNDRY BEAR&#8220;?<\/a><\/li><li class='ez-toc-page-1'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/www.secuinfra.com\/de\/techtalk\/laundry-bear-wie-eine-russische-hackergruppe-e-mails-stiehlt-ohne-dass-jemand-klickt\/#Vom_Phishing-Klick_zum_Zero-Click-Exploit\" >Vom Phishing-Klick zum Zero-Click-Exploit<\/a><\/li><li class='ez-toc-page-1'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/www.secuinfra.com\/de\/techtalk\/laundry-bear-wie-eine-russische-hackergruppe-e-mails-stiehlt-ohne-dass-jemand-klickt\/#Was_im_Hintergrund_passiert\" >Was im Hintergrund passiert<\/a><\/li><li class='ez-toc-page-1'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/www.secuinfra.com\/de\/techtalk\/laundry-bear-wie-eine-russische-hackergruppe-e-mails-stiehlt-ohne-dass-jemand-klickt\/#Ulej_ZimReaper_CL-STA-1114_viele_Forscher_und_viele_Namen\" >Ulej, ZimReaper, CL-STA-1114: viele Forscher und viele Namen<\/a><\/li><li class='ez-toc-page-1'><a class=\"ez-toc-link ez-toc-heading-5\" href=\"https:\/\/www.secuinfra.com\/de\/techtalk\/laundry-bear-wie-eine-russische-hackergruppe-e-mails-stiehlt-ohne-dass-jemand-klickt\/#Wohin_verschwinden_die_Daten\" >Wohin verschwinden die Daten?<\/a><\/li><li class='ez-toc-page-1'><a class=\"ez-toc-link ez-toc-heading-6\" href=\"https:\/\/www.secuinfra.com\/de\/techtalk\/laundry-bear-wie-eine-russische-hackergruppe-e-mails-stiehlt-ohne-dass-jemand-klickt\/#Was_sollten_betroffene_Organisationen_tun\" >Was sollten betroffene Organisationen tun?<\/a><\/li><li class='ez-toc-page-1'><a class=\"ez-toc-link ez-toc-heading-7\" href=\"https:\/\/www.secuinfra.com\/de\/techtalk\/laundry-bear-wie-eine-russische-hackergruppe-e-mails-stiehlt-ohne-dass-jemand-klickt\/#Fazit\" >Fazit<\/a><\/li><\/ul><\/nav><\/div>\n\n<p class=\"wp-block-paragraph\">Am 7. August 2026 ver\u00f6ffentlichte Fox News einen Artikel mit der rei\u00dferischen \u00dcberschrift <em>&#8222;Russian hackers can steal emails without a click&#8220;<\/em>. Klingt nach Clickbait, ist es aber, technisch gesehen, kaum. Denn genau das ist der Kern des folgenden Artikels.<br>LAUNDRY BEAR, eine russische, staatlich unterst\u00fctzte Hackergruppe, deren j\u00fcngste Kampagne nicht mal mehr einen Klick auf den falschen Link ben\u00f6tigt. Ihnen reicht es, wenn Sie eine E-Mail \u00f6ffnen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Was_ist_ein_%E2%80%9ELAUNDRY_BEAR%E2%80%9C\"><\/span>Was ist ein &#8222;LAUNDRY BEAR&#8220;?<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">LAUNDRY BEAR ist der Name, den der niederl\u00e4ndische In- und Auslands-Nachrichtendienst AIVD und der Milit\u00e4rgeheimdienst MIVD dieser Gruppe gegeben haben. In der Sicherheitsbranche kursieren parallel weitere Bezeichnungen f\u00fcr vermutlich dieselbe Gruppe. Aktiv ist die Gruppe nach aktuellem Kenntnisstand bereits seit mindestens April 2024, \u00f6ffentlich benannt wurde sie erst im Mai 2025.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die Beh\u00f6rden vermuten hinter der Gruppe ein klares Motiv: Spionage. Es gibt keine Hinweise auf finanzielle Erpressung, daf\u00fcr aber auf ein sehr gezieltes, systematisches Abgreifen von E-Mail-Kommunikation. Klassische Nachrichtendienstarbeit im digitalen Gewand, mutma\u00dflich mit R\u00fcckendeckung der russischen Regierung.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Im Fadenkreuz stehen dabei keineswegs nur Regierungsstellen. Besonders h\u00e4ufig betroffen sind Organisationen aus:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>R\u00fcstungsindustrie<\/li>\n\n\n\n<li>Bildung<\/li>\n\n\n\n<li>Energie<\/li>\n\n\n\n<li>Strafverfolgung<\/li>\n\n\n\n<li>Medien<\/li>\n\n\n\n<li>NGOs<\/li>\n\n\n\n<li>Technologie<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Auff\u00e4llig ist au\u00dferdem ein Muster, das die Beh\u00f6rden explizit hervorheben: Bevor die Gruppe westliche NATO-Staaten ins Visier nimmt, testet sie ihre Methoden offenbar bevorzugt zuerst an ukrainischen Zielen, die Ukraine dient quasi als Versuchslabor f\u00fcr neue Angriffstechniken.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Vom_Phishing-Klick_zum_Zero-Click-Exploit\"><\/span>Vom Phishing-Klick zum Zero-Click-Exploit<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die Anf\u00e4nge von LAUNDRY BEAR waren technisch eher unspektakul\u00e4r. Fr\u00fche Kampagnen, dokumentiert seit Mai 2025, setzten auf klassisches Password Spraying, Phishing-Seiten und gestohlene Zugangsdaten aus dem Untergrund. Ein Beispiel: eine gef\u00e4lschte Anmeldeseite, die wie das Registrierungsportal eines europ\u00e4ischen Verteidigungs- und Sicherheitsgipfels aussah. Wer dort seine Microsoft-Zugangsdaten eingab, lieferte sie \u00fcber eine modifizierte Version des Open-Source-Tools Evilginx direkt an die Angreifer, inklusive Sitzungs-Cookies, mit denen sich sogar Zwei-Faktor-Authentifizierung umgehen lie\u00df.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ab Juli 2025 \u00e4nderte sich das Bild grundlegend. LAUNDRY BEAR begann, eine selbst entwickelte Schadsoftware namens &#8222;\u0423\u043b\u0435\u0439&#8220; \/ &#8222;Ulej&#8220;, russisch f\u00fcr &#8222;Bienenstock&#8220;, gezielt gegen Unternehmen einzusetzen, die die Zimbra Collaboration Suite als Webmail-L\u00f6sung nutzen. Daf\u00fcr nutzte Ulej die CVE-2025-66376, die zum Zeitpunkt eine Zero-Day Schwachstelle war. Erst im Januar 2026 wurde die Schwachstelle offiziell in der National Vulnerability Database ver\u00f6ffentlicht, gepatcht wurde sie in den ZCS-Versionen 10.1.13 und 10.0.18.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Technisch handelt es sich um die gespeicherte Cross-Site-Scripting-L\u00fccke, Stored XSS, CWE-79, im Classic Web Client von Zimbra. Der Webmail-Client bereinigt bestimmte CSS-@import-Anweisungen in eingehenden E-Mails nicht sauber. Wie raffiniert das im Detail umgesetzt wurde, hat der Sicherheitsanbieter Proofpoint unter dem Kampagnen-Namen &#8222;TA488&#8220; rekonstruiert:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das eigentliche Schadelement, ein &lt;svg onload=&#8230;&gt;-Tag, welches JavaScript ausf\u00fchrt, wird nicht als Ganzes verschickt, sondern in einzelne Fragmente zerlegt und in einem unsichtbaren display:none-Div versteckt. Dazwischen streut der Angreifer bewusst nutzlose @import-Anweisungen und HTML-Kommentare. Zimbras Filter erkennt die einzelnen Bruchst\u00fccke nicht als ausf\u00fchrbaren Code und entfernt nur die eingestreuten @import-Sequenzen \u2013 \u00fcbrig bleibt exakt das lauff\u00e4hige &lt;svg onload=eval(atob(&#8230;))&gt;-Tag, das der Browser anschlie\u00dfend ganz normal ausf\u00fchrt. Proofpoint nennt diese Verschleierungstechnik &#8222;Tag-Splitting&#8220;. Der innere Payload ist zus\u00e4tzlich Base64-kodiert und XOR-verschl\u00fcsselt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Auch bei der Frage, wie viel Nutzerinteraktion es eigentlich braucht, gehen die offiziellen Bewertungen auseinander. Die NVD vergibt einen CVSS-Wert von 6.1 und geht von notwendiger Nutzerinteraktion aus, MITRE bewertet dieselbe L\u00fccke mit 7.2 und verneint das. Unit 42 von Palo Alto Networks bezeichnet den Angriff schlicht als &#8222;Zero-Click&#8220;.<br>In der Praxis l\u00e4uft es f\u00fcr das Opfer aufs Gleiche hinaus, die E-Mail wird ge\u00f6ffnet, der Code l\u00e4uft, aber mehr passiert aus seiner Sicht nicht.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Was_im_Hintergrund_passiert\"><\/span>Was im Hintergrund passiert<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Ist der durch Ulej eingebrachte Code einmal aktiv, arbeitet er den CISA-Erkenntnissen zufolge in zw\u00f6lf automatisierten Schritten ab und sammelt dabei:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>die E-Mails der letzten 90 Tage &#8211; alles au\u00dfer dem Papierkorb\/Junk-Ordner<\/li>\n\n\n\n<li>die E-Mail-Adresse des Opfers<\/li>\n\n\n\n<li>im Passwortmanager hinterlegte, automatisch ausgef\u00fcllte Passw\u00f6rter \u00f6m<\/li>\n\n\n\n<li>die komplette globale Adressliste der Organisation<\/li>\n\n\n\n<li>Zwei-Faktor-Scratch-Codes<\/li>\n\n\n\n<li>ein neu erstelltes Application Passcode. Eine Art Zweit-Passwort, das Zimbra f\u00fcr E-Mail-Clients ohne 2FA-Unterst\u00fctzung wie IMAP vorsieht<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr dauerhaften Zugriff und Persistenz, aktiviert das Skript im Hintergrund per SOAP-Request stillschweigend den IMAP-Zugang des Kontos und erstellt ein eigenes Application Passcode mit dem Namen &#8222;ZimbraWeb&#8220;. Damit bleibt der Zugriff bestehen, selbst wenn das Opfer sp\u00e4ter sein Passwort \u00e4ndert. Ein Umstand, den viele Betroffene erst zu sp\u00e4t bemerken d\u00fcrften.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Beim Diebstahl der globalen Adressliste geht die Malware stur-systematisch vor. Sie testet per Brute-Force alle m\u00f6glichen Zwei-Zeichen-Kombinationen aus einem Zeichensatz von Buchstaben, Zahlen und ein paar Sonderzeichen, aufgeteilt auf 20 Anfragen-Batches. Wenig elegant aber offenbar effektiv.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Ulej_ZimReaper_CL-STA-1114_viele_Forscher_und_viele_Namen\"><\/span>Ulej, ZimReaper, CL-STA-1114: viele Forscher und viele Namen<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Praktisch jeder Sicherheitsanbieter, der die Kampagne unabh\u00e4ngig analysiert hat, vergibt eigene Namen f\u00fcr Akteur und Schadsoftware. CISA nennt die Malware &#8222;Ulej&#8220;, Proofpoint bezeichnet exakt dieselbe JavaScript-Payload als &#8222;ZimReaper&#8220; und f\u00fchrt den Akteur unter der Bezeichnung TA488. Unit 42 wiederum spricht von CL-STA-1114. Ob es sich bei all diesen Namen tats\u00e4chlich um dieselbe Gruppe handelt, ist zwar nicht restlos gekl\u00e4rt aber die Beh\u00f6rden selbst weisen in ihrer Warnung ausdr\u00fccklich darauf hin, dass die Zuordnung der verschiedenen Trackingnamen zueinander nicht zwangsl\u00e4ufig eins zu eins passt.<br>Immerhin: Ein Abgleich der ver\u00f6ffentlichten Indikatorenlisten zeigt, dass Unit 42 (CL-STA-1114) und Proofpoint (TA488) dieselben neun Command-and-Control-Domains nennen, somit beschreiben die beiden Namen zumindest dasselbe Intrusion Set.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Unit 42 liefert dazu noch handfeste Infrastruktur-Zahlen, mindestens neun C2-IP-Adressen und neun Domains, jeder Server im Schnitt nur 35,4 Tage aktiv, bevor die Gruppe weiterzieht. Als betroffene Sektoren und Regionen nennt Unit 42 Regierungsstellen, Verteidigung, Transport und Finanzwesen in NATO-Staaten, der Ukraine, den GUS-Staaten und Afrika. Proofpoint erg\u00e4nzt f\u00fcr die USA gezielt Regierungs-, Wissenschafts- und R\u00fcstungsorganisationen, darunter auch Einrichtungen mit Bezug zu Nuklearanlagen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Noch komplizierter wird die Zuordnungsfrage durch einen Fall aus dem Januar 2026.<br>Der Sicherheitsanbieter Seqrite dokumentierte unter dem Namen &#8222;Operation GhostMail&#8220; einen Angriff auf eine ukrainische Beh\u00f6rde f\u00fcr Hydrologie, bei dem exakt dieselbe Schwachstelle ausgenutzt wurde, ordnete die Aktivit\u00e4t aber nur mit mittlerer Konfidenz der bereits l\u00e4nger bekannten Gruppe APT28 zu. Der niederl\u00e4ndische In- und Auslands-Nachrichtendienst AIVD, der den Namen LAUNDRY BEAR gepr\u00e4gt hat, behandelt LAUNDRY BEAR und APT28 hingegen ausdr\u00fccklich als zwei getrennte Akteure. F\u00fcr Verteidiger \u00e4ndert dieser Namensstreit am Ende wenig.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Wohin_verschwinden_die_Daten\"><\/span>Wohin verschwinden die Daten?<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die gestohlenen Informationen landen auf einer eigens daf\u00fcr angemieteten Serverinfrastruktur, die die Angreifer selbst &#8222;Flowerbed&#8220; nennen. Ein containerisiertes Python-Projekt mit vier Docker-Komponenten: einem Empfangsdienst (&#8222;Catcher&#8220;), einer Zertifikatsverwaltung \u00fcber Let&#8217;s Encrypt, einem Nginx-Reverseproxy zur Verschl\u00fcsselung des Datenverkehrs und einer simplen Gesundheitspr\u00fcfung (&#8222;Gardener&#8220;). Die Server werden meist nur 7 bis 60 Tage genutzt, bevor die Gruppe auf neue Infrastruktur umzieht, typisch um Entdeckung zu erschweren.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Interessant am Rande: der Quellcode von Flowerbed zeigt Anzeichen daf\u00fcr, mit Unterst\u00fctzung von KI entwickelt worden zu sein. Zusammen mit der Wiederverwendung von Open-Source-Werkzeugen wie Evilginx deutet das eher auf eine Gruppe mit begrenzten eigenen Entwicklungskapazit\u00e4ten hin als auf ein hochspezialisiertes Elite-Team.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Der Datenabfluss selbst l\u00e4uft \u00fcber zwei Kan\u00e4le parallel: unauff\u00e4llige DNS-Anfragen f\u00fcr kleinere Datenmengen, Base32-kodiert und verschl\u00fcsselte HTTPS-Verbindungen f\u00fcr den gro\u00dfen Rest, inklusive der komprimierten E-Mail-Archive.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Was_sollten_betroffene_Organisationen_tun\"><\/span>Was sollten betroffene Organisationen tun?<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die Beh\u00f6rden formulieren ihre Empfehlungen unmissverst\u00e4ndlich:<\/p>\n\n\n\n<ol start=\"1\" class=\"wp-block-list\">\n<li><strong>Sofort Patchen<\/strong> Wer ZCS 10.1.13 oder 10.0.18 noch nicht eingespielt hat, sollte das mit h\u00f6chster Priorit\u00e4t nachholen.<\/li>\n\n\n\n<li><strong>Wo Patchen kurzfristig nicht m\u00f6glich ist:<\/strong> auf alternative Mail-Clients ausweichen und den klassischen Zimbra-Webclient meiden.<\/li>\n\n\n\n<li><strong>Passkeys statt Passwort-Autofill<\/strong> einsetzen, um das automatische Abgreifen von Zugangsdaten durch Passwortmanager-Interception zu verhindern.<\/li>\n\n\n\n<li><strong>Netzwerkverkehr \u00fcberwachen<\/strong>: etwa ungew\u00f6hnlich hohe ausgehende Datenmengen zu VPS-Anbietern, auff\u00e4llige DNS-Anfragen mit zuf\u00e4llig wirkenden Subdomains oder Verbindungen \u00fcber bekannte VPN-Dienste wie Mullvad, den die Gruppe bevorzugt nutzt.<\/li>\n\n\n\n<li><strong>Bei Verdacht auf Kompromittierung:<\/strong> s\u00e4mtliche Application Passcodes und 2FA-Scratch-Codes zur\u00fcckziehen, Passw\u00f6rter organisationsweit \u00e4ndern und gezielt nach Application Passcodes mit dem Namen &#8222;ZimbraWeb&#8220; suchen, ein legitimes vorkommen dieser ist ausgeschlossen.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">Wichtig: Ein reines Update schlie\u00dft nur das Einfallstor, es bringt aber nichts zur\u00fcck, was vorher bereits durch das Tor gegangen ist. Oder sich in Form von Zug\u00e4ngen eingenistet hat.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Wer wissen will, ob er schon betroffen war, sollte laut Proofpoint und Seqrite gezielt nachsehen:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>im Datei \/opt\/zimbra\/log\/audit.log nach Aufrufen von CreateAppSpecificPassword suchen und Zugangsdaten mit dem Namen &#8222;ZimbraWeb&#8220; entfernen,<\/li>\n\n\n\n<li>Konten identifizieren, bei denen zimbraPrefImapEnabled ohne erkennbaren gesch\u00e4ftlichen Grund auf TRUE steht,<\/li>\n\n\n\n<li>SOAP-Aufrufe von GetScratchCodesRequest \u00fcberwachen, die im Normalbetrieb praktisch nie vorkommen sollten,<\/li>\n\n\n\n<li>den DNS-Verkehr auf die ver\u00f6ffentlichten C2-Domains sowie auf auff\u00e4llig lange, zuf\u00e4llig wirkende Subdomain-Anfragen pr\u00fcfen,<\/li>\n\n\n\n<li>und E-Mails, die zwar zugestellt, aber nie ge\u00f6ffnet wurden, per YARA-Regel (von Proofpoint ver\u00f6ffentlicht) auf das fragmentierte @import-Muster hin durchsuchen.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Beim Patchen selbst lohnt sich ein zweiter Blick auf die Versionsnummer: Zimbra 10.0 erreichte am 31. Dezember 2025 offiziell das Support-Ende, Version 10.0.18 ist also bestenfalls eine Notl\u00f6sung. Wer kann, sollte direkt auf einen aktuellen 10.1-Build wechseln, die neueste Version 10.1.20, Stand 20. Juli 2026, schlie\u00dft zus\u00e4tzlich vier weitere, bis dahin unbekannte Stored-XSS-L\u00fccken im Classic Web Client.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Fazit\"><\/span>Fazit<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Fox-News hat passend zusammengefasst, was CISA in ihrer Warnung bentont: LAUNDRY BEAR hat sich von plumpem Credential-Phishing zu einer Gruppe entwickelt, die einen echten Zero-Day-Exploit operationalisieren konnte und das, obwohl ihre technischen F\u00e4higkeiten insgesamt eher als durchschnittlich gelten. Sie zeigen also, dass man kein Elite-Hackerteam sein um mit der richtigen Schwachstelle maximalen Schaden anzurichten. F\u00fcr Organisationen, die Zimbra einsetzen, bedeutet das vor allem eins: Patchen ist hier die einzige wirksame Verteidigungslinie gegen einen Angriff, bei dem das Opfer buchst\u00e4blich nichts falsch machen muss.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Quellen:<\/strong><\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>CISA\/NSA\/FBI et al., Cybersecurity Advisory AA26-204A, &#8222;Russian State-Supported Cyber Actors Conduct Phishing Campaign Targeting Users of Zimbra Collaboration Suite&#8220;, 23.07.2026 &#8211; <a  href=\"https:\/\/www.cisa.gov\/news-events\/cybersecurity-advisories\/aa26-204a\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >https:\/\/www.cisa.gov\/news-events\/cybersecurity-advisories\/aa26-204a<\/a><\/li>\n\n\n\n<li>Fox News, &#8222;Russian hackers can steal emails without a click&#8220;, 07.08.2026 &#8211; <a  href=\"https:\/\/www.foxnews.com\/tech\/russian-hackers-steal-emails-without-click\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >https:\/\/www.foxnews.com\/tech\/russian-hackers-steal-emails-without-click<\/a><\/li>\n\n\n\n<li>The Hacker News, &#8222;Russian Espionage Group Exploited Zimbra Zero-Day to Steal Mail and 2FA Codes&#8220;, 23.07.2026 &#8211; <a  href=\"https:\/\/thehackernews.com\/2026\/07\/russian-espionage-group-exploited.html\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >https:\/\/thehackernews.com\/2026\/07\/russian-espionage-group-exploited.html<\/a><\/li>\n\n\n\n<li>Palo Alto Networks Unit 42, &#8222;Russian Global Webmail Espionage&#8220;, 2026 &#8211; <a  href=\"https:\/\/unit42.paloaltonetworks.com\/russian-webmail-espionage\/\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >https:\/\/unit42.paloaltonetworks.com\/russian-webmail-espionage\/<\/a><\/li>\n\n\n\n<li>Proofpoint, &#8222;TA488 Targets Zimbra Mailservers with Half-Click Exploits&#8220;, 2026 &#8211; <a  href=\"https:\/\/www.proofpoint.com\/us\/blog\/threat-insight\/ta488-targets-zimbra-mailservers-half-click-exploits\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >https:\/\/www.proofpoint.com\/us\/blog\/threat-insight\/ta488-targets-zimbra-mailservers-half-click-exploits<\/a><\/li>\n\n\n\n<li>Seqrite, &#8222;Operation GhostMail: Russian APT exploits Zimbra Webmail to Target Ukraine State Agency&#8220;, 2026 &#8211; <a  href=\"https:\/\/www.seqrite.com\/blog\/operation-ghostmail-zimbra-xss-russian-apt-ukraine\/\"  target=\"_blank\" rel=\"noopener\" dpc-external=\"true\"  target=\"_blank\"  rel=\"nofollow\" >https:\/\/www.seqrite.com\/blog\/operation-ghostmail-zimbra-xss-russian-apt-ukraine\/<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Am 7. August 2026 ver\u00f6ffentlichte Fox News einen Artikel mit der rei\u00dferischen \u00dcberschrift &#8222;Russian hackers can steal emails without a click&#8220;. Klingt nach Clickbait, ist es aber, technisch gesehen, kaum. Denn genau das ist der Kern des folgenden Artikels.<br \/>\nLAUNDRY BEAR, eine russische, staatlich unterst\u00fctzte Hackergruppe, deren j\u00fcngste Kampagne nicht mal mehr einen Klick auf den falschen Link ben\u00f6tigt. Ihnen reicht es, wenn Sie eine E-Mail \u00f6ffnen.<\/p>\n","protected":false},"author":49,"featured_media":66521,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"dpc_author_order":[33],"footnotes":""},"categories":[100,66],"tags":[],"class_list":["post-66520","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-angriffserkennung","category-techtalk"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/posts\/66520","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/users\/49"}],"replies":[{"embeddable":true,"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/comments?post=66520"}],"version-history":[{"count":1,"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/posts\/66520\/revisions"}],"predecessor-version":[{"id":66522,"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/posts\/66520\/revisions\/66522"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/media\/66521"}],"wp:attachment":[{"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/media?parent=66520"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/categories?post=66520"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.secuinfra.com\/de\/wp-json\/wp\/v2\/tags?post=66520"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}