러시아 연계 조직 Zimbra 웹메일 제로클릭 공격에 다국적 공동 경보 발령

이메일 열람만으로 계정 데이터가 탈취되는 방식

이번 공격은 제로클릭 방식으로 이뤄졌다. 제로클릭은 링크를 누르는 등 별도 조작 없이 이메일을 열어 보기만 해도 감염되는 방식이다. 피해자가 악성 HTML 이메일을 열면 자바스크립트가 실행돼 계정 데이터가 탈취된다.

악용된 취약점은 Zimbra Collaboration 클래식 UI에 있는 저장형 크로스사이트스크립팅(XSS) 취약점 CVE-2025-66376이다. 크로스사이트스크립팅은 웹 페이지에 악성 스크립트를 심어 사용자의 브라우저에서 실행시키는 공격 기법이다. 취약점 위험도 평가는 기관별로 갈려 NVD는 6.1, MITRE는 7.2로 매겼다.

수집 정보와 유출 경로

공격 코드는 최근 90일치 이메일과 이메일 주소, 비밀번호, 조직 이메일 디렉터리, 2단계 인증 관련 정보를 수집·유출하도록 설계됐다. 조직 이메일 디렉터리는 조직 전체의 이메일 주소를 담은 목록을 뜻한다.

공격 코드는 ‘ZimbraWeb’이라는 앱 전용 비밀번호를 만들어 2단계 인증 없이 IMAP·POP3·SMTP 접근을 확보한다. 탈취한 데이터는 DNS 쿼리와 HTTPS를 통해 공격자가 통제하는 서버로 유출됐다.

표적과 배경, 남은 쟁점

공격 조직은 최소 2025년 7월부터 서방의 정부·상업 조직을 표적으로 삼아 침해해 왔다. 유닛42가 제시한 표적 범위에는 NATO 회원국과 우크라이나, 독립국가연합, 아프리카의 정부·국방·운송·금융 조직이 포함됐다. 프루프포인트는 미국의 정부·과학·방위산업기지 조직이 침해됐다고 밝혔으며, The Hacker News는 프루프포인트가 제시한 대상 범위에 핵 시설도 포함됐다고 전했다.

이 조직은 마이크로소프트가 보이드 블리자드, 프루프포인트가 TA488, 유닛42가 CL-STA-1114라는 명칭으로도 추적한다. 런드리 베어는 2025년 5월 네덜란드 정보기관에 처음 공개적으로 지목됐고, 마이크로소프트에 따르면 최소 2024년부터 활동해 왔다. The Record가 인용한 공동 경보에서 기관들은 은밀하고 지속적인 활동과 알려진 금전 갈취의 부재를 근거로 이를 러시아 정부 지원 첩보 활동으로 판단했다.

Zimbra는 이 취약점을 2025년 11월 6일 수정했다. 영향을 받는 범위는 Zimbra Collaboration 10.0.18 이전과 10.1.13 이전 버전이며, 프루프포인트는 이 조직이 패치 전 최소 5개월간 당시 알려지지 않은 취약점으로 이를 악용했다고 밝혔다. 같은 매체에 따르면 CISA는 2026년 3월 18일 이 취약점을 알려진 악용 취약점(KEV) 카탈로그에 추가했다.