Zimbra corrigió el fallo en la versión 10.1.20 el 20 de julio, pero el CVE-2026-73570 no se reveló públicamente hasta el 13 de agosto. Entre el 28 de julio y el 7 de agosto, Redmond detectó dos herramientas de escaneo diferentes sondeando la misma parte de Zimbra que luego se utilizó en los ataques.


Al principio, la actividad parece haberse centrado en encontrar servidores vulnerables y probar el fallo. Los atacantes utilizaron una colección de utilidades de red comunes para hacer que los sistemas vulnerables se conectaran a una infraestructura que ellos controlaban, confirmando que podían ejecutar comandos.

Una vez que encontraron servidores que respondieron, las cosas se complicaron. La investigación de Microsoft encontró que los atacantes desplegaban web shells y reverse shells, escalaban sus privilegios, instalaban herramientas para el acceso remoto persistente y ejecutaban código malicioso directamente en la memoria.

Algunos incluso limpiaron sus rastros. Microsoft dijo que los atacantes cambiaron temporalmente los permisos de los directorios públicos para plantar web shells y luego restauraron la configuración original en un intento aparente de hacer que su interferencia fuera más difícil de detectar.

Los intrusos también exploraron los entornos de Zimbra más amplios en los que aterrizaron, identificando otros servidores de correo y buscando conexiones confiables que pudieran usar para moverse entre ellos. En algunos casos, las relaciones SSH existentes entre los sistemas Zimbra les dieron una ruta hacia los servidores vecinos.

En al menos una máquina comprometida, los atacantes convirtieron su acceso inicial en acceso root. Luego configuraron el sistema para seguir ejecutando comandos con los privilegios más altos sin necesidad de contraseña.

Los buzones de correo, como era de esperar, también estaban en la lista de objetivos. Microsoft afirmó que los atacantes buscaron credenciales de Zimbra y secretos de autenticación que pudieran usarse para acceder a las cuentas de usuario. Una herramienta maliciosa descubierta fue construida específicamente para extraer credenciales de cuentas de servicio y obtener información de los buzones de las bases de datos de Zimbra.

En otro incidente, los atacantes agruparon copias de seguridad recientes de los buzones en un archivo e intentaron enviar el botín a Azure Blob Storage utilizando la utilidad AzCopy de Microsoft. Microsoft señaló que no pudo confirmar, basándose en la evidencia disponible, si la transferencia tuvo éxito realmente.

La empresa observó organizaciones afectadas en múltiples regiones e industrias, con ataques que variaron desde la explotación automatizada hasta una actividad manual más deliberada. No ha atribuido la actividad a un grupo en particular.


Los administradores que ejecuten versiones anteriores a Zimbra 10.1.20 deben actualizar a la 10.1.20 o posterior, mientras que aquellos que no puedan aplicar el parche pueden reducir su exposición eliminando el paquete SNMP opcional o desactivando las notificaciones SNMP.

Mientras tanto, parece que los atacantes llegaron temprano, ya que Microsoft detectó sondeos del fallo más de dos semanas antes de que se hiciera público. 

Fuente:
TheRegister