Een aanhoudende phishingcampagne probeert bij organisaties over de hele wereld inloggegevens voor Zimbra Collaboration e-mail-servers te stelen. De phishingcampagne werd voor het eerst opgemerkt in april. Wie achter de campagne zit, is nog steeds niet duidelijk.

De phishing-e-mails zijn gericht aan organisaties in Latijns-Amerika, Rusland, Europa en Azië. Er lijkt geen specifieke focus te zijn op een sector of bepaalde organisaties, schrijft Bleepingcomputer op basis van een rapport van beveiligingsfirma ESET.

De campagne start met een phishing-e-mail die zich voordoet als een e-mail van de organisatie. In de e-mail staat dat de gebruiker een HTML-bestand moet openen om meer te weten te komen over een server upgrade en om deactivatie van zijn account te voorkomen. Dat HTML-bestand toont eenmaal geopend een nagemaakt Zimbra-inlogscherm, compleet met het logo en de naam van de organisatie. De gebruikersnaam is ook alvast ingevuld. De gebruiker hoeft alleen nog zijn wachtwoord in te vullen. Een ingevuld wachtwoord belandt via een HTTPS POST-verzoek bij de kwaadwillende.

ESET noemt de mate van verspreiding en het aantal geslaagde phishingpogingen ‘indrukwekkend’ en waarschuwt Zimbra-gebruikers. Zimbra is een populair doelwit van kwaadwillenden. Zo waarschuwde Google vorige maand nog voor een actief aangevallen zerodaylek in Zimbra-mailservers. Zimbra bracht later die maand een beveiligingsupdate uit om het probleem te verhelpen.