Están explotando una vulnerabilidad grave en los servidores de correo Zimbra expuestos a internet mediante el envío de correos electrónicos diseñados específicamente. Esta falla, identificada como CVE-2026-73570, consiste en un problema de inyección de comandos en la función de notificaciones SNMP del servidor, lo que permite que un atacante externo ejecute comandos en un servidor vulnerable sin necesidad de iniciar sesión ni de que un empleado abra el mensaje.

Explotando un fallo grave en los servidores de correo Zimbra expuestos a internet mediante correos electrónicos especialmente diseñados. Esta debilidad permite que alguien externo ejecute comandos en un servidor vulnerable sin necesidad de iniciar sesión ni de persuadir a un empleado para que abra un mensaje.

La actividad se centra en el CVE-2026-73570, un problema de inyección de comandos en la función de notificación SNMP del servidor. Afecta a las instalaciones donde el paquete opcional zimbra-snmp está presente y las notificaciones SNMP están habilitadas, convirtiendo una ruta de monitoreo rutinaria en un punto de entrada.

Microsoft Threat Intelligence identificó y rastreó los ataques, encontrando organizaciones afectadas en más de una región e industria.

Microsoft señaló en un informe que los atacantes combinaron la entrega automatizada de la carga útil (payload) con actividad manual tras obtener el acceso.

El impacto se extiende más allá de un solo buzón. Los investigadores detectaron web shells, conexiones inversas cifradas, material de autenticación robado, herramientas de acceso remoto persistentes e intentos de recolectar datos de correo, lo que requiere la aplicación de parches e investigaciones en todas las organizaciones analizadas por Microsoft.

Explotan Servidores de Correo Zimbra

El exploit abusa de la forma en que Zimbra procesa una solicitud SMTP manipulada. Los caracteres de shell suministrados por un atacante pueden llegar al manejo de notificaciones SNMP; cuando un cambio de estado del servicio activa el monitoreo, el proceso swatchdog incluye esa entrada en un comando snmptrap y lo ejecuta bajo la cuenta de servicio de zimbra.

No se requiere contraseña, cuenta ni interacción del usuario. Esta distinción hace que los servidores expuestos sean especialmente arriesgados, y refuerza por qué el informe anterior sobre la explotación de RCE en Zimbra sigue siendo relevante para los administradores responsables de la infraestructura de correo pública.

Microsoft observó actividades de reconocimiento desde el 28 de julio hasta el 7 de agosto, después de que la versión 10.1.20 estuviera disponible el 20 de julio, pero antes de la divulgación pública el 13 de agosto.

Los operadores utilizaron callbacks ligeros de HTTP, DNS e ICMP para confirmar que podían ejecutar comandos y llegar a la raíz web del servidor antes de entregar el malware.

Una vez dentro, los atacantes cambiaron los permisos del directorio web, reconstruyeron piezas de la carga útil comprimida y escribieron web shells JSP en carpetas públicas de aplicaciones.

Posteriormente eliminaron las piezas preparadas y copiaron web shells alternativas a otros nodos de buzones, un patrón consistente con las web shells persistentes en servidores de correo documentadas en incidentes previos.

Los intrusos descargaron contenido con herramientas comunes de línea de comandos, lanzaron trabajos en segundo plano y abrieron shells inversas interactivas. Un "named pipe" conectó una shell local a una sesión cifrada de OpenSSL, permitiendo al operador emitir comandos y recibir resultados.

Luego mapearon los nodos de buzones y de transferencia de correo, verificaron la identidad SSH existente de Zimbra y la utilizaron con rsync para mover herramientas entre sistemas de clúster confiables. Esto extendió el acceso más allá del servidor comprometido inicialmente.

Credenciales Robadas

La campaña fue tras los secretos del servicio en lugar de solo las contraseñas de usuarios individuales. Utilizando consultas de directorio y configuración de Zimbra, los atacantes recolectaron credenciales de LDAP, MySQL, Postfix y otros servicios, junto con claves de pre-autenticación, material de firma de tokens y secretos de doble factor.

Esas claves son altamente sensibles porque pueden permitir el acceso más allá de un solo buzón. Un implante específico de Zimbra también leyó el archivo de configuración local, exportó tablas de bases de datos y preparó certificados, claves privadas y datos de directorio para su transferencia, aunque la evidencia disponible no confirmó que todas las transferencias intentadas tuvieran éxito.

En un servidor, los atacantes archivaron datos de respaldo de buzones en un archivo local e intentaron enviarlo a un almacenamiento en la nube. Otras evidencias mostraron una ruta de escalada de privilegios que manipulaba una ubicación de registro escribible y la configuración de PAM, otorgando finalmente a la cuenta de zimbra acceso administrativo sin contraseña.

Los investigadores encontraron un servicio de sistema disfrazado fuera de los directorios normales de Zimbra, habilitado al arrancar y con marcas de tiempo engañosas.

Otros mecanismos de carga útil involucraron tareas programadas, archivos de inicio, claves SSH y cuentas locales, subrayando por qué tú, como defensor, debes inspeccionar múltiples rutas de persistencia.

Deberías actualizar inmediatamente a Zimbra 10.1.20 o posterior. Donde esto no sea posible de inmediato, elimina zimbra-snmp, deshabilita las notificaciones SNMP y restringe el acceso SNMP y SMTP a hosts confiables.

El aviso sobre el fallo de inyección de comandos SNMP también recomienda revisar la configuración de monitoreo y la actividad de comandos inusual. Tu equipo debe tratar una alerta de shell inversa en un servidor de correo expuesto a internet como un incidente prioritario.

Inspecciona cada nodo de buzón en busca de archivos JSP inesperados, artefactos de servlet generados y cambios recientes de permisos; rota las claves de pre-autenticación de Zimbra; revisa los servicios del sistema en busca de propiedad sospechosa, habilitaciones o cambios en las marcas de tiempo; y preserva los registros antes de la contención.

Fuentes:
https://cybersecuritynews.com/hackers-exploit-zimbra-mail-servers/