Sintesi

Questo CSIRT ha rilevato, nel contesto nazionale, molteplici compromissioni di sistemi Zimbra Collaboration Suite esposti su rete pubblica, ascrivibili in larga parte allo sfruttamento della vulnerabilità CVE-2026-73570 e, in misura minore, di ulteriori falle note su istanze non aggiornate o obsolete. I vettori analizzati evidenziano l’esecuzione remota di codice con i privilegi dell’utenza applicativa e il mantenimento dell’accesso mediante webshell e attività pianificate. Le conseguenze accertate indicano finalità operative eterogenee: la cifratura di file mediante ransomware, l’abuso delle risorse computazionali per attività di cryptomining, l’esfiltrazione della base dati LDAP e degli hash delle credenziali, la reimpostazione forzata delle credenziali di accesso alle caselle di posta e l’impiego dei server compromessi per condurre scansioni e attacchi di brute forcing verso infrastrutture terze. La quasi totalità dei sistemi impattati risultava priva delle patch di sicurezza applicabili o attestata su rami software obsoleti e non più supportati, con una ricorrenza specifica di installazioni dotate del pacchetto opzionale Zimbra-SNMP. Non sono emerse evidenze di intrusioni riuscite a carico di istanze regolarmente aggiornate.

Descrizione e potenziali impatti

Le compromissioni rilevate derivano dalla presenza sul perimetro esposto di istanze Zimbra Collaboration Suite non aggiornate, prive dei correttivi di sicurezza o giunte a fine ciclo di vita. Il vettore di attacco preponderante è rappresentato dalla vulnerabilità critica CVE-2026-73570 , alla quale si affiancano casi riconducibili a ulteriori vulnerabilità note (e non mitigate sui sistemi colpiti) quali CVE-2024-45519, CVE-2022-41352, CVE-2022-27925, CVE-2022-37042 e CVE-2023-38750 , nonché un incidente occorso su un sistema legacy in fase di dismissione con vettore non determinato. L’ottenimento dell’accesso iniziale ha consentito agli attaccanti di operare nel contesto di esecuzione dell’utente applicativo e di impiantare webshell e processi pianificati per preservare l’accesso ai sistemi. Gli impatti concreti riscontrati a carico delle organizzazioni colpite sono stati i seguenti:

• paralisi operativa dei servizi di messaggistica aziendale con interruzioni prolungate a danno di migliaia di utenti;

• perdita di disponibilità e integrità dei dati a seguito di cifratura tramite ransomware;

• sottrazione della base dati LDAP e dei relativi archivi di credenziali;

• reimpostazione malevola non autorizzata delle password di tutte le caselle di posta ospitate;

• degrado prestazionale causato dall’allocazione illecita di risorse per il cryptomining;

• coinvolgimento involontario dell’infrastruttura vittima in campagne distribuite di scansione e attacco brute forcing dirette verso soggetti terzi.

Di seguito si riporta l’analisi di dettaglio distinta per vettori di sfruttamento e finalità operative osservate.

Attacchi associati alla CVE-2026-73570

La CVE-2026-73570 – già trattata nell’ambito dell’ AL06/260814/CSIRT-ITA – costituisce il vettore di compromissione comune alla maggior parte degli eventi analizzati, pur conducendo a esiti operativi divergenti. La vulnerabilità è stata impiegata come vettore di accesso iniziale per una pluralità di scopi malevoli distinti: veicolare ransomware, distribuire processi di cryptomining, impiantare webshell per garantire l’accesso remoto continuo, prelevare arbitrariamente basi di dati applicative ed informazioni sensibili, nonché esporre le macchine violate per condurre ulteriori attacchi verso soggetti terzi.

Tale eterogeneità comprova come la vulnerabilità sia stata oggetto di sfruttamento concorrente da parte di molteplici attori d’attacco con diverse priorità strategiche.

Distribuzione di ransomware

In due distinti eventi, lo sfruttamento della CVE-2026-73570 è culminato nel rilascio di ransomware a danno dei server bersaglio.

Nel primo incidente, che ha interessato un’istanza Zimbra 8.7.11.GA.1854, l’attaccante ha fatto leva sulla vulnerabilità per istanziare una reverse shell interattiva verso un’infrastruttura remota, completando la cifratura non reversibile di molteplici file su uno dei nodi server compromessi.

Nel secondo evento, pur a fronte di una versione di Zimbra non specificata, l’attività ostile ha introdotto direttamente l’eseguibile elockch , artefatto binario identificato tramite impronta SHA-256 e riferibile al ransomware della famiglia ELock, noto per mirare specificamente ad ambienti enterprise e installazioni ZCS.

Elemento tecnico determinante al fine di correlare i casi è la presenza documentata del pacchetto opzionale Zimbra-SNMP, componente che ha abilitato la superficie di attacco necessaria per l’innesco della vulnerabilità, sebbene il livello di dettaglio acquisito non consenta di ricondurre univocamente i due episodi alla medesima matrice della minaccia o all’uso del medesimo payload crittografico nel primo sistema.

Installazione di cryptominer

In tre distinti eventi, lo sfruttamento della CVE-2026-73570 è stato indirizzato all’installazione di software per l’estrazione non autorizzata di criptovaluta, finalizzato alla monetizzazione diretta tramite assorbimento delle risorse di calcolo dei server.

Nel primo evento, la compromissione ha interessato un’istanza Zimbra nella versione 10.1.19, non allineata alla patch di sicurezza 10.1.20 resa disponibile dal vendor a luglio 2026; l’intrusione ha permesso l’esecuzione di comandi con privilegi dell’utenza locale zimbra e l’impianto di un modulo di cryptomining reso persistente tramite una voce pianificata, nel crontab della medesima utenza, deputata all’esecuzione ciclica del payload collocato nel percorso /var/tmp/.x/upd . Tale schema operativo, basato sull’abuso di directory temporanee per ospitare script o binari di aggiornamento richiamati da cron , replica fedelmente i modelli di persistenza documentati nelle campagne di cryptojacking orientate a sistemi Linux, pur non consentendo l’identificazione certa dello specifico engine di calcolo adoperato in questo specifico target.

Nel secondo episodio, registrato su una versione di sistema non documentata, l’attività ha comportato la configurazione di molteplici meccanismi di persistenza, l’attivazione di servizi malevoli e il contestuale download di ulteriori moduli software da host remoti controllati dalla minaccia.

Nel terzo evento, l’attaccante si è limitato ad impiantare ed eseguire il software di mining senza ulteriori compromissioni e/o movimenti laterali.

Il quadro che ne deriva dimostra l’impiego concorrente della vulnerabilità per acquisire capacità di calcolo, evidenziando altresì una gestione operativa eterogenea della persistenza tra i diversi target impattati.

Esecuzione di payload remoti

In un singolo evento, lo sfruttamento della vulnerabilità è stato utilizzato per ottenere l’esecuzione arbitraria di comandi non autenticati e recuperare un payload da un’infrastruttura di staging esterna http://[URL_REMOTO]/zed .

L’attività malevola ha portato all’esecuzione direttamente in memoria di uno script Perl, senza rilascio di file persistenti sul disco. È stato inoltre rilevato il tentativo di interazione con un presunto server di comando e controllo operante su protocollo IRC.

Dagli accertamenti condotti non sono tuttavia emerse evidenze di attività post-compromissione, persistenza locale, movimenti laterali o esfiltrazione di dati dal sistema, confermando che l’attacco si è arrestato alla fase di esecuzione iniziale del payload fileless e della relativa sessione di comando remota.

Webshell, raccolta di dati ed esfiltrazione

In due ulteriori eventi correlati alla CVE-2026-73570, l’accesso iniziale ottenuto con lo sfruttamento è stato finalizzato all’impianto di webshell per mantenere il presidio dei sistemi, acquisire informazioni riservate e compromettere la continuità del servizio.

Nel primo caso, verificatosi su un’istanza Zimbra 10.1.4, è stato osservato il rilascio di molteplici artefatti JSP nelle directory esposte dal servizio web, permettendo l’esecuzione di comandi con i privilegi dell’utenza applicativa. Sul server sono state rinvenute webshell con parametri codificati in Base64, componenti gestite tramite il framework Behinder v3 con cifratura AES/ECB e script adibiti alla lettura di file di configurazione dotati di routine di autocancellazione per ostacolare l’analisi forense; l’intrusione è culminata nell’esfiltrazione accertata della base dati LDAP, dell’elenco delle caselle di posta e dei corrispondenti hash delle credenziali di autenticazione.

Nel secondo evento, l’installazione e la persistenza di molteplici webshell JSP – tra le quali alcune denominate Cykrrva8.jsp , Xv03ug6v.jsp , Config.jsp , info.jsp e rr.jsp – hanno comportato l’interruzione completa dei servizi di posta elettronica per un arco temporale di 48 ore a danno di oltre 6000 caselle utente, sebbene le indagini forensi non abbiano documentato sottrazioni di dati.

I due incidenti evidenziano una rilevante correlazione infrastrutturale, testimoniata dalla condivisione di cinque specifici indirizzi IP di comando e controllo e dall’omogeneità dei costrutti JSP impiegati. Nonostante la sovrapposizione rilevata indichi la possibilità dell’impiego della medesima infrastruttura di attacco o l’appartenenza a una campagna coordinata, le evidenze tecniche raccolte non consentono di attribuire con certezza entrambi gli episodi allo stesso attore.

Attività di brute forcing SSH

In un evento registrato su una piattaforma basata su sistema operativo CentOS, il server Zimbra compromesso è stato convertito in un nodo sorgente per condurre attacchi di tipo “brute force” mediante protocollo SSH verso obiettivi remoti. L’intrusione ha comportato la creazione di contenuti arbitrari all’interno della directory pubblica del servizio web Jetty, collocata nel percorso /opt/zimbra/jetty_base/webapps/zimbra/public , dove sono stati rinvenuti i file denominati check_51tbh1xj.txt e check_ci0avbur.txt . La creazione di tali file indica una procedura di verifica esplicita attuata dall’attaccante per confermare i permessi di scrittura sul filesystem prima di dare il via all’esecuzione delle fasi successive, a cui si è accompagnata la manomissione di ulteriori componenti locali. La CVE-2026-73570 è stata indicata quale presunto vettore di ingresso iniziale, sebbene gli elementi tecnici disponibili non consentano di certificarne l’effettivo impiego in modo inequivocabile rispetto ad altri vettori concorrenti.

Attacco associato alla CVE-2024-45519

Un incidente documenta lo sfruttamento della CVE-2024-45519 a danno di un’istanza Zimbra nella versione 8.8.15 priva dei relativi aggiornamenti di sicurezza, con finalità accertata di distribuzione di ransomware.

Le tecniche osservate delineano una sequenza di attacco strutturata: a seguito dell’accesso iniziale tramite il servizio esposto, l’attore malevolo ha interagito mediante interprete di comandi Unix, raccolto credenziali memorizzate sul sistema e instaurato un canale di comando e controllo per l’esfiltrazione preventiva di dati e la successiva cifratura delle risorse.

La mancata trasmissione di indicatori di compromissione specifici nell’ambito della notifica dell’incidente impedisce l’attribuzione del payload a una famiglia ransomware nota e l’entità esatta dei file cifrati o esfiltrati, confermando comunque l’elevata criticità derivante dall’esercizio di rami software obsoleti ed esposti alla rete.

Attacco associato alla CVE-2022-41352

L’evento riconducibile allo sfruttamento della CVE-2022-41352 – trattata da questo CSIRT nell’ambito della AL03/221014/CSIRT-ITA – ha determinato la compromissione di un server configurato come relay SMTP, convertito in piattaforma per la conduzione di attacchi derivati di tipo brute force e per l’estrazione non autorizzata di criptovaluta. Le analisi hanno consentito di isolare un binario dropper appartenente alla famiglia di malware Kinsing e un payload XMRig versione 6.26.0 collocato nel percorso /tmp/softwaretech , configurato con un wallet Monero e attestato su server di mining pool situati su infrastrutture cloud estere.

Per garantire l’accesso permanente alla macchina, gli attaccanti hanno iniettato una chiave pubblica arbitraria nel file authorized_keys dell’utenza locale zimbra, mentre i log di sistema documentano precedenti attività di ricognizione e probing sulle interfacce SOAP e violazioni SMTP di tipo PREGREET originate da host remoti.

L’infezione ha generato un severo assorbimento delle capacità computazionali del server, testimoniato dal rilascio del file di dump Java /tmp/hs_err_pid18030.log generato a seguito di un errore Out-Of-Memory (OOM) e dal conseguente crash dei processi applicativi, evidenziando come l’azione congiunta del miner e della botnet comprometta la stabilità operativa dell’infrastruttura di posta oltre ad asservirla ad attività ostili verso l’esterno.

Uteriori eventi  compatibili con lo sfruttamento delle CVE-2022-27925, CVE-2022-37042 e CVE-2023-38750

Due incidenti risultano correlati a vulnerabilità note pregresse che interessano le servlet applicative di Zimbra, a conferma del persistere di attacchi automatici volti a colpire installazioni prive di manutenzione ordinaria.

Nel primo episodio, occorso su un’istanza antecedente alla versione 10.1.20, l’attore malevolo ha abusato delle funzionalità di upload/SOAP riconducibili alla CVE-2022-27925 , congiuntamente alla CVE-2023-38750 – trattata nell’ambito della AL01/230726/CSIRT-ITA -, per ottenere l’esecuzione remota di comandi, disabilitare le difese locali del sistema e impiantare multiple webshell JSP tramite le quali veicolare un cryptominer e stabilire connessioni verso un’infrastruttura di comando e controllo. L’attività ha inoltre comportato l’instaurazione di sessioni di comunicazione verso un’infrastruttura di comando e controllo attestata su porta non convenzionale (porta TCP 8801), preceduta da attività di probing e ricognizione condotte da molteplici indirizzi IP associati a scanner automatici.

Nel secondo caso, lo sfruttamento plausibilmente ascrivibile alle vulnerabilità CVE-2022-27925 o CVE-2022-37042 – trattate nell’ambito del BL01/220817/CSIRT-ITA – ha condotto alla cifratura delle risorse a scopo di estorsione; l’impiego del ransomware della famiglia ELock risulta supportato dal rinvenimento dell’artefatto denominato .elock associato alle evidenze crittografiche acquisite.

Caso con vulnerabilità non determinata

In un evento registrato, l’impossibilità di acquisire indicatori di compromissione specifici non ha consentito di determinare l’esatta vulnerabilità sfruttata per l’intrusione iniziale. L’incidente ha impattato un server Zimbra attestato su una versione obsoleta e formalmente avviato verso la dismissione, ma mantenuto esposto verso la rete pubblica senza adeguate misure di monitoraggio o isolamento.

A seguito dell’accesso iniziale, l’attore ha provveduto ad ottenere privilegi elevati sul sistema e manipolato i dati applicativi tramite sessioni di shell Unix, procedendo alla reimpostazione arbitraria e forzata delle credenziali di accesso di tutte le caselle di posta ospitate sull’infrastruttura. Sono stati altresì rilevati processi malevoli in esecuzione verosimilmente finalizzati ad attività di cryptomining, la cui natura esatta non è stata definita a causa dell’assenza di artefatti binari acquisiti.

L’episodio rimarca il rischio operativo derivante dalla permanenza in rete di sistemi legacy non presidiati, esposti a vettori opportunistici non identificati a priori.

Considerazioni sugli incidenti analizzati

L’analisi degli incidenti evidenzia come la maggior parte delle compromissioni abbia interessato installazioni Zimbra obsolete o prive degli aggiornamenti di sicurezza disponibili. Le attività osservate mostrano finalità eterogenee, comprendenti ransomware, cryptomining, esfiltrazione di dati e utilizzo delle infrastrutture compromesse per attacchi verso terzi. In più casi, gli attaccanti hanno mantenuto la persistenza senza necessità di ottenere privilegi di root, sfruttando esclusivamente il contesto operativo dell’utenza applicativa Zimbra. Nel complesso, le evidenze raccolte confermano la persistenza di campagne opportunistiche e automatizzate rivolte a sistemi esposti su Internet e non adeguatamente aggiornati.

Prodotti e versioni affette

Zimbra Collaboration Suite

• versioni precedenti alla 10.1.20 (con pacchetto opzionale zimbra-snmp installato e notifiche SNMP abilitate)
• 10.1.x, versioni precedenti alla 10.1.1
• 10.x.x, versioni precedenti alla 10.0.9
• 9.x.x, versioni precedenti alla Patch 41
• versioni precedenti alla 8.8.15 Patch 41

Azioni di mitigazione

A fronte dei vettori di attacco e delle evidenze rilevate, l’applicazione delle contromisure deve dare priorità all’eliminazione delle superfici vulnerabili e all’interruzione delle persistenze applicative, senza degradare l’operatività del servizio di posta:

• Applicazione prioritaria degli aggiornamenti di sicurezza: aggiornare l’istanza Zimbra Collaboration Suite (ZCS) alle versioni supportate rilasciate dal fornitore per sanare la CVE-2026-73570 e le vulnerabilità pregresse sfruttate in modo concorrente (CVE-2024-45519, CVE-2022-41352 e CVE-2022-27925). Qualora l’applicazione immediata della patch per la CVE-2026-73570 non sia attuabile per vincoli di manutenzione, disabilitare o disinstallare temporaneamente il pacchetto opzionale zimbra-snmp, al fine di rimuovere il prerequisito che abilita l’iniezione remota di comandi.
• Ispezione delle persistenze dell’utenza zimbra: poiché le compromissioni osservate operano nel contesto dell’utente applicativo senza scalata a root, verificare il crontab di sistema per tale utenza ( crontab -u zimbra -l ) per rimuovere task pianificati non autorizzati e ispezionare il file /opt/zimbra/.ssh/authorized_keys , revocando qualsiasi chiave pubblica non censita.
• Bonifica dei percorsi di staging e verifica dell’integrità del filesystem: eseguire una scansione mirata delle directory impiegate dagli attaccanti per il rilascio di payload e file temporanei:
• verificare /opt/zimbra/data/tmp/ per rilevare la presenza di script riconducibili all’exploit SNMP (pattern .swatchdog_script.* e snmpc_* );
• ispezionare la directory web di Jetty /opt/zimbra/jetty_base/webapps/zimbra/public/ e le relative sottocartelle per identificare e rimuovere webshell JSP non autorizzate o file di verifica (es. file .txt arbitrari);
• controllare /tmp e /var/tmp per l’individuazione di binari malevoli (dropper Kinsing, cryptominer XMRig, payload ransomware come elockch ) o file di dump JVM anomali causati da saturazione di memoria.
• Rotazione immediata delle credenziali e dei certificati: in caso di riscontro di webshell o anomalie nei log di accesso, procedere alla rotazione forzata delle credenziali di tutte le caselle di posta e degli account amministrativi (interrompendo l’efficacia dei dump LDAP esfiltrati), revocando contestualmente i token di sessione attivi e le chiavi SSH associate all’istanza.

Buone pratiche di configurazione e hardening

Per ridurre strutturalmente la superficie d’attacco ed evitare la compromissione generalizzata dei dati a seguito di accessi non autorizzati:

• Segregazione delle interfacce e filtraggio selettivo del traffico di rete:
• inibire l’esposizione diretta su rete pubblica della porta amministrativa (TCP 7071) e delle interfacce SOAP non necessarie, restringendone l’accesso tramite regole di firewall o VPN alle sole postazioni di gestione tecnica;
• applicare regole di filtraggio del traffico in uscita ( egress filtering ) dai server Zimbra, bloccando le connessioni dirette verso porte tipicamente usate da botnet o C2 (inclusi i canali IRC e porte non standard come la TCP 8801) e consentendo esclusivamente le destinazioni indispensabili per la risoluzione DNS, la consegna della posta (SMTP) e gli aggiornamenti di sistema.
• Principio del minimo privilegio nell’integrazione LDAP/Active Directory: qualora l’infrastruttura Zimbra utilizzi directory esterne per finalità di autenticazione o consultazione, limitare i privilegi delle utenze di servizio ai soli attributi e alle sole unità organizzative strettamente necessarie, riducendo l’impatto derivante da eventuali compromissioni o esfiltrazioni delle informazioni di autenticazione;
• Gestione del ciclo di vita e isolamento dei sistemi legacy: i server di posta dichiarati formalmente in fase di dismissione o basati su versioni del sistema operativo/ZCS non più supportate devono essere immediatamente deindicizzati dalla rete pubblica, segregati in VLAN prive di instradamento esterno o spenti; non deve essere consentita la coesistenza di server obsoleti esposti a Internet privi di manutenzione attiva.
• Monitoraggio dell’integrità dei file applicativi: implementare meccanismi di File Integrity Monitoring (FIM) o regole di audit locale sulle directory /opt/zimbra/jetty_base/webapps/ e /opt/zimbra/conf/ , configurando avvisi in tempo reale in caso di creazione o modifica non autorizzata di file con estensione .jsp , script di sistema o attività di scrittura anomale all’interno delle directory web esposte, effettuate nel contesto dell’utente zimbra.