CISA cảnh báo chiến dịch Zimbra zero-click: cần kiểm chứng gì ngoài việc vá?

Advisory cho biết hoạt động nhắm các tổ chức chính phủ và thương mại phương Tây đã diễn ra ít nhất từ tháng 7/2025. Lỗ hổng được nêu là CVE-2025-66376, đã được vá từ tháng 11/2025 nhưng vẫn tiếp tục bị khai thác trên hệ thống chưa cập nhật. Các cơ quan mô tả kỹ thuật “view-based”: người dùng chỉ cần xem email độc hại trong webmail dễ bị ảnh hưởng, khác với phishing yêu cầu bấm link hoặc mở file.

Theo advisory, payload cố gắng thu thập tối đa 90 ngày email gần nhất, Global Address List và dữ liệu nhạy cảm khác; đồng thời tìm cách duy trì truy cập. Tài liệu cung cấp IOC ở STIX và hướng dẫn tìm dấu vết trong log ZCS. Đây là dữ kiện từ cơ quan công bố, không phải kết quả kiểm chứng độc lập trên mọi bản cài Zimbra.

NVD hiện liệt kê ZCS 10.0 trước 10.0.18 và ZCS 10.1 trước 10.1.13 là các nhánh bị ảnh hưởng. Phạm vi thực tế vẫn phải đối chiếu build và bản vá của Zimbra tại thời điểm kiểm tra.

Điểm quan trọng không chỉ là “có CVE”. Chuỗi khai thác làm giảm giá trị của chương trình awareness dựa chủ yếu vào lời khuyên “đừng bấm link”, vì hành động xem email có thể là trigger trên phiên bản dễ bị ảnh hưởng. Mô tả cũng kết nối exploit với thu thập email, token/credential và persistence, nên phạm vi incident response rộng hơn việc vá server.

Advisory gọi đây là lỗ hổng zero-day tại thời điểm bị khai thác lần đầu; hiện tại bản vá đã tồn tại. Vì vậy hành động ưu tiên là xác định version và thời điểm phơi nhiễm, không tiếp tục gọi mọi hệ thống là đang đối mặt zero-day chưa vá.

Đội vận hành cần lập bản đồ đường đi: Internet/reverse proxy/WAF → Zimbra webmail → mailbox store/directory → outbound HTTPS/DNS → SIEM. Nếu chỉ kiểm tra firewall inbound, có thể bỏ qua exfiltration hoặc session hợp lệ bị lạm dụng. Nếu log web, mailbox và DNS không cùng timestamp, việc dựng timeline sẽ thiếu tin cậy.

Vá làm giảm nguy cơ khai thác tiếp nhưng không xóa tài khoản, token, app password, forwarding rule hoặc persistence đã có. Cần tách containment, preservation, hunting, credential/session reset và recovery. Không reboot/xóa log trước khi có snapshot/evidence theo quy trình của tổ chức.

Không vận hành Zimbra không đồng nghĩa advisory không có giá trị: phương pháp kiểm soát session, email telemetry, egress và zero-click response có thể áp dụng khi đánh giá hệ thống mail khác, nhưng không được suy diễn CVE sang sản phẩm khác.

• Tổ chức vận hành Zimbra public-facing, đặc biệt version chưa xác nhận.
• Đội SOC/IR quản lý email, DNS, proxy và identity telemetry.
• Các đơn vị quốc phòng, chính phủ, giáo dục, năng lượng, pháp luật, truyền thông, NGO và công nghệ được advisory nêu là nhóm mục tiêu.
• Nhà cung cấp dịch vụ quản trị Zimbra cho nhiều khách hàng.
• Đội kiểm thử cần xác minh detection và egress control an toàn.

IOC có thể thay đổi hoặc bị tái sử dụng; “không thấy IOC” không chứng minh không bị xâm nhập. Kết hợp IOC, behavior, timeline và exposure.

• Inventory toàn bộ ZCS, public endpoint, version/build và ngày vá.
• Đối chiếu release/advisory của Zimbra cho CVE-2025-66376.
• Bảo toàn log webmail, mailbox, proxy, DNS, firewall và identity.
• Tải IOC STIX từ nguồn chính thức; ghi thời điểm tải và version.
• Hunt IOC đồng thời tìm hành vi, không chỉ exact-match domain/IP.
• Tìm lệnh/chuỗi được advisory nêu trong ZCS log.
• Kiểm tra forwarding rule, app password, OAuth consumer, IMAP và session.
• Đánh giá outbound HTTPS/DNS bất thường từ server và client.
• Reset credential/session theo phạm vi IR, không làm mất evidence.
• Xác nhận backup sạch và kế hoạch phục hồi.
• Chạy validation detection trong lab bằng artefact an toàn.

Sau khi cập nhật, kiểm tra regression: đăng nhập/webmail hoạt động, email render đúng, proxy/WAF không phá chức năng và version thực tế khớp bản vá. Dùng test account và email/artefact mô phỏng không chứa exploit để xác nhận log pipeline ghi nhận view, API/SOAP access, thay đổi rule, session và outbound anomaly.

Tạo test case egress: DNS volume bất thường, HTTPS từ service không mong đợi, access mailbox hàng loạt, tạo app password/forwarding rule và login từ nguồn mới. Mục tiêu là xác nhận telemetry/detection, không tái tạo exploit trên production.

• Kiểm chứng: Version/patch · Evidence: build và release record · Pass: không còn build dễ bị ảnh hưởng
• Kiểm chứng: Log coverage · Evidence: event tại ZCS, proxy, DNS, identity · Pass: đủ field và timestamp
• Kiểm chứng: Detection · Evidence: alert từ hành vi mô phỏng an toàn · Pass: đúng owner/runbook
• Kiểm chứng: Session control · Evidence: revoke/reset test account · Pass: session cũ mất hiệu lực
• Kiểm chứng: Egress · Evidence: policy và alert · Pass: luồng trái phép bị chặn/cảnh báo

Advisory không chứng minh mọi Zimbra server đã bị xâm nhập, mọi email độc hại đều khai thác thành công hay mọi outbound DNS/HTTPS là malicious. Cũng không nên suy ra attribution chỉ từ một IOC. Kết luận compromise cần evidence tại tổ chức.

NetVali chưa độc lập tái tạo CVE-2025-66376. Version bị ảnh hưởng, bản vá và lệnh hunt phải được đối chiếu tài liệu Zimbra/CISA mới nhất trước khi xuất bản và hành động.