Negli ultimi tre anni, la comunità di threat intelligence ha segnalato attività di cyberspionaggio da parte di attori statali russi e bielorussi che hanno preso di mira i servizi di webmail sfruttando vulnerabilità di tipo Cross-Site Scripting (XSS). Gruppi come TA422 (Sofacy, Forest Blizzard, Fancy Bear, APT28), TA473 (WinterVivern), TA445 (Ghostwriter, UNC1151) e altri cluster di attività sono stati già documentati da svariati soggetti – tra cui ESET, CERT-UA, Recorded Future, StrikeReady e CERT-PL – mentre abusavano di questo tipo di falle per depredare i server di webmail. Questo genere di attività XSS è definita exploit “half-click” poiché è sufficiente la semplice apertura dell’e-mail per innescare l’attacco, senza bisogno di ricorrere a ulteriori tecniche di ingegneria sociale.
A settembre 2025, Proofpoint ha individuato un nuovo attore all’interno di questa categoria ricostruendone le origini. Almeno a partire da luglio dello scorso anno, TA488 (precedentemente noto come UNK_PitStop) ha sfruttato una vulnerabilità nella suite di collaborazione Zimbra per colpire realtà ucraine (come evidenziato anche da Seqrite), installazioni nucleari e la base industriale della difesa negli Stati Uniti. Si tratta di un gruppo allineato a Mosca, verosimilmente diretto dall’intelligence russa. TA488 ha impiegato exploit half-click contro le installazioni Zimbra per sottrarre e-mail e credenziali agli utenti target, configurando poi un accesso persistente al server di posta compromesso.
TA488 ha inviato i messaggi volti a sfruttare la CVE-2025-66376 sia da account Proton Mail sotto il controllo degli attaccanti, sia da indirizzi precedentemente violati, prendendo di mira principalmente i settori governativo e dell’istruzione. I messaggi si presentano con esche generiche e non richiedono che la vittima clicchi su un link o apra un allegato. L’exploit XSS è incorporato direttamente nel corpo HTML del messaggio e si attiva non appena l’utente apre o visualizza l’anteprima dell’e-mail nel client webmail vulnerabile di Zimbra, senza richiesta di alcuna altra interazione.
Proofpoint ha osservato che TA488 presenta diverse analogie indiziarie con Void Blizzard (Laundry Bear). Tra queste figurano la preferenza per la registrazione di domini tramite servizi e-mail semi-anonimi; l’hosting delle infrastrutture su Cloudflare; il costante focus nel colpire i governi della NATO e dell’Ucraina, oltre ad aziende della difesa; la centralità della raccolta di e-mail tra gli obiettivi operativi.
Sebbene Proofpoint non abbia potuto attribuire con assoluta certezza l’attività di TA488 a Void Blizzard basandosi solo sulla propria telemetria diretta, la collaborazione con i partner governativi statunitensi ha confermato tale associazione. Inoltre, i rinvii a giudizio federali negli Stati Uniti dimostrano che TA488 opera come un contractor privato per conto dei servizi segreti russi.
In modo analogo ad altri attori legati alla Direzione Principale delle Informazioni dello Stato Maggiore russo (GRU) – come TA422 (APT28, Forest Blizzard, Sofacy, Fancy Bear), TA458 (RoundPress) e TA426 (Zebrocy, UAC-0063) – TA488 mostra una costante combinazione di obiettivi che unisce istituzioni governative ucraine a enti europei e statunitensi nei settori dell’energia, della scienza, della diplomazia e della difesa. Le tattiche incentrate sulla raccolta di credenziali d’accesso alle caselle postali e sulla successiva esfiltrazione dei dati sono un tratto comune tra TA488 e i già citati TA458 e TA422.
A partire da febbraio 2026, a seguito dell’analisi di Seqrite e della conseguente disattivazione delle infrastrutture da parte del gruppo, Proofpoint non ha più rilevato attività da parte di TA488. È verosimile che in futuro questo gruppo cerchi metodi alternativi per la raccolta di credenziali ed e-mail; uno scenario che, a breve termine, potrebbe essere agevolato proprio dagli LLM per l’individuazione di vulnerabilità analoghe in altri provider di webmail. Con ogni probabilità, il gruppo rimarrà estremamente vigile e reattivo rispetto alle divulgazioni pubbliche riguardanti le proprie attività, nel tentativo di tutelare i propri investimenti e preservare le proprie capacità d’attacco.
