Vaarallinen Laundry Bear - SecMeter

Mitä Laundry Bear kertoo venäläisen kybervakoilun muutoksesta

Heinäkuussa 2026 Suomen sotilastiedustelu ja supo liittyivät kansainväliseen varoitukseen venäläisestä Laundry Bear -kyberuhkatoimijasta. Kyseessä oli jo toinen kerta saman kuukauden aikana, kun Suomen tiedusteluviranomaiset osallistuivat Venäjän valtiollista kybertoimintaa koskevaan yhteisvaroitukseen. Uusimman varoituksen allekirjoittajajoukko oli huomattavan laaja. Siinä olivat mukana muun muassa Yhdysvaltojen NSA, FBI ja CISA sekä tiedustelu- ja kyberturvallisuusviranomaisia Alankomaista, Australiasta, Britanniasta, Kanadasta, Uudesta-Seelannista, Tšekistä, Tanskasta, Virosta, Suomesta, Ranskasta, Italiasta, Moldovasta, Puolasta, Espanjasta ja Ruotsista. Yhteensä varoituksen takana oli 27 viranomaista 16 maasta.

Näin laaja yhteinen esiintyminen on enemmän kuin tekninen tietoturvatiedote. Se on samalla puolustuksellinen toimenpide, julkinen attribuutio ja strateginen viesti. Kohdeyritykselle se kertoo, että uhkaa pidetään todellisena ja jatkuvana. Hyökkääjälle se ilmoittaa, että sen infrastruktuuria, menetelmiä ja kohdevalintoja seurataan kansainvälisesti. Liittolaisille varoitus osoittaa, että yksittäisten maiden tekemät havainnot voidaan yhdistää yhteiseksi tilannekuvaksi. Varoituksen julkilausuttu tavoite on vähentää hyökkäysten onnistumismahdollisuuksia, mutta samalla se pyrkii nostamaan toiminnan poliittista ja operatiivista hintaa.

Laundry Bearin tapaus on merkittävä ainakin kolmesta syystä. Se osoittaa, kuinka venäläinen tiedustelu hyödyntää samassa operaatiossa rikollisilta hankittuja tunnuksia, tavallista kalastelua, järjestelmien omia toimintoja ja nollapäivähaavoittuvuuksia. Se kertoo, kuinka nopeasti suhteellisen uusi ja teknisesti epätasainen toimija voi omaksua aiempaa vaativampia menetelmiä. Ennen kaikkea se paljastaa, kuinka suuri tiedusteluarvo yritysten sähköpostijärjestelmillä on ja kuinka puutteellisesti tätä arvoa edelleen suojataan.

Hollannin poliisimurrosta paljastui uusi toimija

Laundry Bear tuli julkisuuteen toukokuussa 2025, kun Alankomaiden siviilitiedustelupalvelu AIVD ja sotilastiedustelupalvelu MIVD julkaisivat ryhmää koskevan teknisen raportin. Tutkinnan lähtökohtana oli 23.9.2024 tapahtunut tietomurto Alankomaiden poliisiin.

Hyökkääjä sai haltuunsa yhden poliisityöntekijän käyttäjätilin ja käytti sen oikeuksia poliisin maailmanlaajuisen osoiteluettelon eli Global Address Listin lataamiseen. Näin hyökkääjä sai kaikkien poliisityöntekijöiden työhön liittyviä yhteystietoja.

Alankomaiden viranomaiset eivät ole pystyneet vahvistamaan, että tästä nimenomaisesta poliisin shköpostitilistä olisi varastettu muuta tietoa. Siksi tapahtumaa ei pidä kuvata koko poliisin sähköpostisisällön menetyksenä, vaikka varastettu osoitteisto itsessään oli laaja ja tiedustelullisesti arvokas.

Tutkinnan mukaan hyökkäys toteutettiin todennäköisesti niin sanotulla pass-the-cookie-menetelmällä. Hyökkääjä käytti varastettua selainistunnon evästettä esiintyäkseen jo tunnistautuneena käyttäjänä. Evästeen arvioitiin joutuneen ensin tietoja varastavan haittaohjelman haltuun ja päätyneen sen jälkeen rikolliselle markkinapaikalle, josta Laundry Bear saattoi ostaa sen. Käyttäjän salasanaa ei siten välttämättä tarvinnut murtaa eikä monivaiheista tunnistautumista suorittaa uudelleen.

Tapaus havainnollistaa valtiollisen vakoilun ja verkkorikollisuuden välisen rajan hämärtymistä. Tiedustelutoimijan ei tarvitse rakentaa koko hyökkäysketjua itse. Se voi ostaa rikollisilta jo varastettuja salasanoja, istuntoevästeitä ja käyttöoikeustietoja ja käyttää niitä valtiollisten tavoitteiden toteuttamiseen. Näin kaupalliset tietovarkaat ja tunnuskauppiaat muodostavat tiedustelupalveluille eräänlaisen alihankintaverkoston, vaikka rikolliset eivät välttämättä edes tiedä lopullisen ostajan tarkoitusta.

Alankomaiden tiedustelupalvelut antoivat aiemmin julkisuudessa tuntemattomalle toimijalle nimen Laundry Bear. Microsoft oli seurannut päällekkäistä toimintaa nimellä Void Blizzard. Palo Alto Networksin Unit 42 käyttää tunnistetta CL-STA-1114 ja Proofpoint nimeä TA488, jonka aikaisempi tunniste oli UNK_PitStop. Nimien ei pidä automaattisesti olettaa tarkoittavan täysin yksi yhteen samaa organisaatiota. Tietoturvayhtiöt ja viranomaiset muodostavat toimijaryhmittelynsä erilaisten teknisten havaintojen, infrastruktuurin, kohdevalinnan ja toimintatapojen perusteella. Tässä tapauksessa tunnisteet kuvaavat kuitenkin vahvasti päällekkäistä venäläistä vakoilutoimintaa.

Vaatimattomat keinot, suuri onnistumisaste

Laundry Bearin toiminnan arvioidaan alkaneen viimeistään huhtikuussa 2024. Kohteina ovat olleet erityisesti Nato- ja EU-maat sekä Ukraina. Kohdejoukkoon ovat kuuluneet valtionhallinto, asevoimat, lainvalvontaviranomaiset, puolustusteollisuus, teknologiayritykset, energia- ja liikenneala, koulutus, terveydenhuolto, media, kansalaisjärjestöt ja kansainväliset organisaatiot. Venäjän sotaponnisteluihin liittyvät puolustushankinnat, asetuotanto, Ukrainalle toimitettava materiaali sekä pakotteiden vuoksi vaikeasti saatavat teknologiat ovat olleet erityisen kiinnostuksen kohteena. Toimintaa on kohdistunut myös Suomeen.

Toiminnan päätavoitteena on arvioitu olevan arkaluonteisen tiedon hankkiminen Venäjän federaatiolle. Kyse ei ensisijaisesti ole kiristyksestä, palvelujen häiritsemisestä tai tietojen tuhoamisesta, vaan sähköpostien, tiedostojen, osoitteistojen ja organisaatiotietojen hiljaisesta keräämisestä. Vakoilun onnistumisen mittari on juuri se, ettei kohde huomaa mitään poikkeavaa.

Ryhmän varhaiset sisäänpääsymenetelmät olivat melko yksinkertaisia. Se käytti salasanasumutusta eli muutamien yleisten salasanojen kokeilemista suureen määrään tilejä, rikollisilta markkinapaikoilta hankittuja tunnuksia ja istuntoevästeitä sekä tavallista ja kohdennettua tietojenkalastelua. Omien monimutkaisten haittaohjelmien sijasta ryhmä hyödynsi usein järjestelmien valmiita toimintoja ja laillisia rajapintoja. Tätä kutsutaan living off the land -toiminnaksi: hyökkääjä käyttää samoja työkaluja ja palveluja kuin oikea käyttäjä, minkä vuoksi toiminta sekoittuu normaaliin verkkoliikenteeseen.

Yksinkertaisuus ei merkinnyt tehottomuutta. Alankomaiden tiedustelupalvelut arvioivat ryhmän onnistumisasteen korkeaksi ja toiminnan ainakin osittain automatisoiduksi. Salasanasumutusta voidaan toteuttaa hitaasti, hajautetusti ja eri IP-osoitteista niin, etteivät perinteiset lukitus- ja hälytysrajat ylity. Kun yksikin tili avautuu, hyökkääjä voi ladata organisaation osoitteiston, tunnistaa lisää käyttäjiä ja jatkaa hyökkäystä entistä täsmällisemmin.

Tästä näkökulmasta Laundry Bear ei ollut täysin opportunistinen eikä täysin käsityönä toimiva kohdennettu ryhmä. Microsoft kuvaa toimintaa osuvasti suureen volyymiin perustuvaksi mutta tiedustelullisesti kohdennetuksi: hyökkääjä kokeilee halpoja keinoja laajaan joukkoon organisaatioita, jotka on kuitenkin valittu Venäjän tietotarpeiden perusteella. Massasta poimitaan ne tilit, joihin päästään sisään.

Rikollisesta tunnuskaupasta kohdennettuun kalasteluun

Keväällä 2025 Microsoft havaitsi muutoksen Laundry Bearin toiminnassa. Ryhmä ei enää tyytynyt pelkästään ostettuihin tunnuksiin ja salasanasumutukseen, vaan alkoi käyttää tarkemmin valmisteltua adversary-in-the-middle- eli AiTM-kalastelua.

Huhtikuussa 2025 ryhmä esiintyi European Defence and Security Summit -tapahtuman järjestäjänä. Kohteille lähetettiin väärennetty kutsu, jonka QR-koodi johti Microsoftin kirjautumissivua jäljittelevään palveluun. Ryhmän käyttämä muunneltu Evilginx-työkalu sieppasi käyttäjän salasanan lisäksi palvelun muodostaman istuntotunnisteen. Tällä tavoin hyökkääjä saattoi ohittaa tavallisen monivaiheisen tunnistautumisen, koska se ei yrittänyt arvata vahvistuskoodia vaan kaappasi jo hyväksytyn istunnon. Kampanja kohdistui yli 20 kansalaisjärjestöön Euroopassa ja Yhdysvalloissa.

Sisään päästyään Laundry Bear käytti Microsoft Exchange Online- ja Microsoft Graph -rajapintoja postilaatikoiden, jaettujen postilaatikoiden ja pilvitiedostojen kartoittamiseen ja massalataamiseen. Joissakin tapauksissa se tarkasteli myös Teams-viestejä ja kartoitti Microsoft Entra ID -ympäristön käyttäjiä, ryhmiä, rooleja, sovelluksia ja laitteita AzureHound-työkalulla. Tavoitteena ei siis ollut välttämättä edetä työasemasta koko sisäverkkoon. Pilvitilin omat oikeudet saattoivat jo avata pääsyn huomattavaan määrään sähköposteja, jaettuja kansioita ja muiden käyttäjien delegoimia postilaatikoita.

Tämä muutos osoitti ryhmän oppivan. Samalla se säilytti aikaisemman toimintalogiikkansa: avoimen lähdekoodin työkalut, varastetut tunnukset ja lailliset pilvirajapinnat pitivät kustannukset alhaisina ja hälytysmerkit vähäisinä.

Zimbra-nollapäivä muutti uhkakuvan

Ratkaiseva tekninen harppaus tapahtui heinäkuussa 2025. Laundry Bear alkoi hyödyntää Zimbra Collaboration Suiten nollapäivähaavoittuvuutta, joka sai myöhemmin tunnisteen CVE-2025-66376.

Haavoittuvuus sijaitsi Zimbran Classic-käyttöliittymän HTML-sisällön käsittelyssä. Zimbra ei suodattanut oikein sähköpostin CSS-tyylimäärittelyihin sisällytettyjä @import-rakenteita. Hyökkääjä pystyi pilkkomaan haitallisen SVG- ja JavaScript-rakenteen osiin siten, ettei suodatin tunnistanut sitä suoritettavaksi koodiksi, vaikka selain yhdisti osat takaisin toimivaksi kokonaisuudeksi.

Hyökkäys ei vaatinut linkin napsauttamista, liitteen avaamista tai makron sallimista. Koodi suoritettiin, kun käyttäjä avasi tai esikatseli viestin haavoittuvassa selainpohjaisessa Zimbra-istunnossa. Proofpoint käyttää tästä nimitystä half-click eli puolikkaan napsautuksen hyökkäys: käyttäjän täytyy tarkastella viestiä, mutta hänen ei tarvitse tehdä mitään muuta. Unit 42 puhuu zero-click-hyökkäyksestä korostaakseen sitä, ettei varsinaista linkin tai tiedoston napsautusta tarvita. Viranomaisten neutraalimpi ilmaus on view-based exploit, katseluun perustuva hyväksikäyttö.

Terminologiaa tärkeämpää on käyttäjän näkökulma. yritykset ovat vuosia opettaneet, ettei epäilyttäviä linkkejä tai liitteitä pidä avata. Tässä hyökkäyksessä käyttäjä saattoi toimia juuri koulutuksen mukaisesti ja silti tulla murretuksi, koska pelkkä viestin näyttäminen riitti.

Ulej kerää postilaatikon järjestelmällisesti

Laundry Bearin Zimbra-kampanjassa käyttämä mukautettu kyvykkyys sai nimen Ulej, suomeksi ”mehiläispesä”. Sen vastaanotto- ja kokoamisjärjestelmää kutsutaan Flowerbediksi. Flowerbedin Catcher-komponentti vastaanottaa varastetut tiedot HTTPS- ja DNS-yhteyksillä ja siirtää niitä edelleen hyökkääjän muuhun infrastruktuuriin.

Viestissä oleva JavaScript suorittaa joukon automatisoituja vaiheita. Se pyrkii selvittämään käyttäjän sähköpostiosoitteen ja Zimbra-version, varastamaan selaimen automaattisesti täyttämiä salasanoja, hakemaan kaksivaiheisen tunnistautumisen varakoodeja, kartoittamaan OAuth-kytkentöjä ja laitteita, lataamaan kohdeorganisaation osoiteluettelon sekä keräämään käyttäjän 90 edellisen päivän sähköpostit liitteineen. Osa tiedoista kuljetetaan HTTPS-yhteyksillä ja osa voidaan koodata DNS-kyselyihin.

Sähköpostit pakataan ja siirretään päiväkohtaisina kokonaisuuksina. Samalla ohjelma tallentaa selaimeen merkintöjä siitä, mitkä päivät on jo käsitelty. Tämä estää saman aineiston tarpeettoman uudelleenlataamisen mutta jättää myös tutkijoille jäljen, jonka avulla murron laajuutta voidaan myöhemmin arvioida.

Vakoilijan kannalta toteutuksessa yhdistyvät nopeus ja tiedustelullinen valikointi. Hyökkääjän ei tarvitse lukea viestejä yksitellen kohdejärjestelmässä. Se voi ensin kopioida postilaatikon ja analysoida aineiston myöhemmin omassa ympäristössään. Osoitteisto, hakuhistoria, viestien metadata ja OAuth-tiedot auttavat samalla ymmärtämään organisaation rakennetta ja valitsemaan seuraavia kohteita.

Pysyvyys on tärkeämpää kuin ensimmäinen murto

Hyökkäys ei tyydy kertaluonteiseen tiedonvarkauteen. Ulej pyrkii luomaan uhrin tilille uuden sovelluskohtaisen salasanan nimellä ”ZimbraWeb” ja kytkemään IMAP-yhteyden päälle. Sovelluskohtaisia salasanoja käytetään tavallisesti sähköpostiohjelmissa, jotka eivät tue normaalia monivaiheista tunnistautumista. Hyökkääjän luoma salasana voi siksi tarjota pääsyn postilaatikkoon IMAP-, POP3- tai SMTP-protokollalla ilman tavallista kaksivaiheista kirjautumista.

Tämän vuoksi tavallinen salasanan vaihto ei välttämättä poista hyökkääjää. Jos sovelluskohtainen salasana jää voimaan, varakoodit ovat hyökkääjän hallussa tai haitallinen istunto on edelleen aktiivinen, uusi käyttäjäsalasana ei sulje kaikkia ovia. Myös postilaatikon delegoinnit, OAuth-sovellukset, aktiiviset istunnot, IMAP- ja POP3-asetukset sekä käyttäjän selaimeen tallennetut salasanat on tarkastettava erikseen.

Viranomaisten ohje on siksi huomattavasti laajempi kuin ”päivitä ja vaihda salasana”. Havaitun murron jälkeen kaikkien sovelluskohtaisten salasanojen ja kaksivaiheisen tunnistautumisen varakoodien peruuttamista suositellaan. Lisäksi on selvitettävä murron päivämäärät, tutkittava vastaavat kalasteluviestit, eristettävä muut saman sisältöiset viestit ja arvioitava, mitä sähköposteja ja muita tunnuksia on voitu varastaa.

Keskitasoinen CVSS-luku, vakava tiedusteluriski

CVE-2025-66376 osoittaa, miksi haavoittuvuuden vakavuutta ei voida arvioida pelkän CVSS-luvun perusteella. NISTin nykyisen analyysin mukainen CVSS 3.1 -arvo on 6,1 eli keskitasoinen. Zimbran omassa turvallisuustiedotteessa numeerinen arvio on jätetty avoimeksi.

Teknisesti haavoittuvuus ei esimerkiksi suoraan kaada palvelinta eikä anna käyttöjärjestelmän pääkäyttäjän oikeuksia. Sen vaikutus riippuu siitä, missä yhteydessä koodi suoritetaan. Kirjautuneen käyttäjän sähköposti-istunnossa vaikutus on kuitenkin tiedustelutoimijalle erittäin suuri. Hyökkääjä voi päästä käsiksi viesteihin, osoitteistoon, kirjautumistietoihin ja uusiin pysyviin tunnisteisiin.

Jos organisaatio järjestää paikkaukset vain CVSS-luvun perusteella, keskitasoinen sähköpostihaavoittuvuus saattaa jäädä odottamaan seuraavaa huoltoikkunaa. Riskiperusteisessä arvioinnissa pitäisi kysyä lisäksi, onko haavoittuvuutta käytetty todellisissa hyökkäyksissä, mitä tietoa järjestelmä käsittelee, ketkä sitä käyttävät ja voiko pääsyä hyödyntää pysyvän takaoven rakentamiseen.

Yhdysvaltojen CISA lisäsi CVE-2025-66376 aktiivisesti hyväksikäytettyjen haavoittuvuuksien KEV-luetteloon maaliskuussa 2026. Tämä on käytännössä vahvempi kiireellisyysmerkki kuin pelkkä keskitasoinen CVSS-luku.

Haavoittuvuuden aikajana on poikkeuksellisen opettavainen. Hyväksikäyttö alkoi viimeistään heinäkuussa 2025. Korjaavat Zimbra-versiot 10.0.18 ja 10.1.13 julkaistiin 6.11.2025. CVE-tunniste julkaistiin 5.1.2026, ja CISA lisäsi haavoittuvuuden KEV-luetteloon maaliskuussa. Heinäkuun 2026 yhteisvaroituksen aikaan hyväksikäyttö jatkui edelleen päivittämättömissä ympäristöissä.

Nollapäivävaihe päättyi siis korjauksen julkaisemiseen, mutta hyökkäysmahdollisuus ei päättynyt. Päivittämättömien järjestelmien vuoksi entisestä nollapäivästä tuli tunnettu ja edelleen käyttökelpoinen vakoiluväline.

Kehittynyt hyökkäys ei aina edellytä eliittiryhmää

Laundry Bearin teknisessä kehityksessä on näennäinen ristiriita. Ryhmä kykeni ottamaan käyttöön aiemmin tuntemattoman haavoittuvuuden ja rakentamaan sen ympärille toimivan tiedonkeruujärjestelmän. Samalla viranomaisten analyysissä Flowerbedin ohjelmakoodia kuvataan melko yksinkertaiseksi. Koodissa havaittiin merkkejä tekoälyn käytöstä, ja riippuvuuden avoimen lähdekoodin työkaluista sekä tekoälyavusteisesta kehittämisestä arvioitiin viittaavan siihen, ettei ryhmällä välttämättä ole erityisen vahvaa omaa ohjelmistokehitysosaamista.

Tämä ei vähennä uhkaa vaan muuttaa käsitystä siitä, mistä kyvykkyys muodostuu. Nykyaikainen valtiollinen kyberoperaatio voi olla modulaarinen. Yksi taho hankkii tunnukset rikollisilta, toinen tunnistaa haavoittuvuuden, avoimen lähdekoodin työkalu auttaa kalastelussa ja tekoäly nopeuttaa yksinkertaisen palvelininfrastruktuurin rakentamista. Hyökkääjän ei tarvitse olla maailman paras kaikissa hyökkäysketjun vaiheissa. Riittää, että se pystyy yhdistämään saatavilla olevat osat toimivaksi operaatioksi.

Siksi jako ”yksinkertaisiin” ja ”kehittyneisiin” hyökkääjiin on harhaanjohtava. Sama toimija voi käyttää tuhansia halpoja salasanayrityksiä ja samanaikaisesti tarkasti kohdistettua nollapäivähaavoittuvuutta. Tekniikan vaatimattomuus ei kerro tavoitteen vaatimattomuudesta eikä yksittäisen komponentin yksinkertaisuus koko operaation vaarattomuudesta.

Laundry Bear osoittaa myös Ukrainan aseman venäläisten kybermenetelmien ensisijaisena kohteena ja mahdollisena kokeiluympäristönä. Yhteisvaroituksen mukaan kampanja kohdistui laajasti Ukrainaan ennen käyttöä Yhdysvaltoja ja muita Nato-maita vastaan. Seqriten maaliskuussa 2026 julkaisema Operation GhostMail -analyysi dokumentoi hyökkäyksen ukrainalaiseen valtion toimijaan. Proofpoint havaitsi lisäksi kohteita Yhdysvaltojen ydinalalta ja puolustusteollisuudesta.

Miksi Venäjä tarvitsee juuri kybervakoilua

Laundry Bearin toiminta liittyy Venäjän tiedustelun laajempaan muutokseen. Suomen tiedusteluviranomaisten mukaan Venäjän henkilötiedustelun toimintaedellytykset ovat heikentyneet länsimaissa Ukrainan hyökkäyssodan jälkeen toteutettujen tiedustelu-upseerien karkotusten seurauksena. Samalla länsimaiden pakotteet ovat lisänneet Venäjän tiedontarvetta muun muassa teknologiasta, puolustustuotannosta ja toimitusketjuista. Venäjä joutuu siksi turvautumaan entistä laajemmin kybermenetelmiin.

Kybervakoilu ei kokonaan korvaa henkilötiedustelua. Sähköpostien perusteella voidaan kuitenkin tunnistaa henkilöitä, suhteita, ristiriitoja, hankkeita ja tietotarpeita, joita voidaan myöhemmin hyödyntää myös perinteisessä tiedustelussa, vaikuttamisessa tai uusissa kyberoperaatioissa.

Etäoperaatiolla on lisäksi selviä etuja. Hyökkääjän ei tarvitse olla kohdemaassa, tavata lähdettä fyysisesti tai ottaa samanlaista henkilökohtaista riskiä kuin peitetehtävässä toimivan tiedustelu-upseerin. Jos infrastruktuuri paljastuu, palvelimet ja verkkotunnukset voidaan korvata. Laundry Bearin Flowerbed-palvelimia käytettiin tyypillisesti vain rajattu aika ennen siirtymistä uuteen infrastruktuuriin.

Miksi sähköposti on tiedustelun ihannekohde

Sähköpostijärjestelmä on paljon enemmän kuin viestinvälityspalvelu. Se on organisaation muistivarasto, suhdekartta ja jatkuvasti päivittyvä tilannekuva.

Lopullinen päätösasiakirja kertoo, mitä päätettiin. Sähköpostiketju kertoo lisäksi, kuka ehdotti ratkaisua, kuka vastusti sitä, mitä vaihtoehtoja harkittiin, mikä jäi epävarmaksi ja millä aikataululla asia etenee. Kalenterikutsut ja yhteystiedot paljastavat verkostot. Luonnokset ja liitteet kertovat asioista ennen niiden julkistamista. Automaattiset ilmoitukset voivat paljastaa käytössä olevia järjestelmiä, palveluntarjoajia ja sisäisiä prosesseja.

Global Address List ei ole vain lista sähköpostiosoitteita. Se kuvaa organisaation henkilöstöä, yksiköitä ja avainhenkilöitä. Sen perusteella voidaan rakentaa uskottavia kalasteluviestejä, tunnistaa hallinnollisia tilejä ja etsiä henkilöitä, joilla on pääsy jaettuihin postilaatikoihin. Alankomaiden tutkimuksessa Laundry Bearin havaittiin olevan erityisen kiinnostunut tileistä, joilla oli delegoitu pääsy muiden käyttäjien sähköposteihin.

Yhden käyttäjätilin arvo ei siksi rajoitu kyseisen henkilön omiin viesteihin. Tili voi avata pääsyn projektipostilaatikoihin, jaettuihin kansioihin, SharePoint-tiedostoihin, Teams-keskusteluihin ja organisaation pilviympäristön rakennetietoihin. Microsoftin havainnoissa Laundry Bear automatisoi suuren tietomäärän keräämistä kaikista niistä postilaatikoista ja tiedostoista, joihin murretulla käyttäjällä oli oikeus.

Kolmen kuukauden sähköpostit voivat antaa tiedustelupalvelulle paremman kuvan organisaation nykytilanteesta kuin suuri määrä vanhoja salaisia asiakirjoja. Sähköposti kertoo, mitä tapahtuu juuri nyt ja mitä ollaan vasta tekemässä.

Suomen rooli oli havaintoa suurempi

Suomen kannalta tapaus ei rajoitu kansainvälisen varoituksen allekirjoittamiseen. Traficomin Kyberturvallisuuskeskus osallistui keskeisesti haavoittuvuuden koordinointiin. Traficom kertoo välittäneensä tiedon Zimbra-järjestelmän nollapäivähaavoittuvuudesta nopeasti valmistajalle sekä kotimaisille ja kansainvälisille yhteistyökumppaneille. Zimbran turvallisuustiedote nimeää haavoittuvuuden ilmoittajaksi NCSC-FI eli Suomen Kyberturvallisuuskeskuksen. Suomalaisessa julkisuudessa havaintoa on kuvattu ensimmäiseksi haavoittuvuuden tunnistamiseksi.

Tapaus havainnollistaa haavoittuvuuskoordinaation vaikeaa tasapainoa. Jos tieto julkaistaan ennen korjausta, myös muut hyökkääjät saavat käyttöohjeen. Jos tieto liikkuu liian hitaasti, valmistaja ja käyttäjäorganisaatiot eivät ehdi suojautua. Siksi havainto on ensin välitettävä luottamuksellisesti valmistajalle, korjaus on kehitettävä ja tieto on jaettava niille organisaatioille, joiden on ryhdyttävä toimiin.

Kansainvälisessä kyberpuolustuksessa liittolaisuus näkyy juuri tällaisessa työssä. Suomessa havaittu tekninen yksityiskohta voidaan yhdistää muiden maiden näytteisiin, infrastruktuuritietoihin ja kohdehavaintoihin. Vastavuoroisesti Suomi saa kumppaneiltaan sellaista tietoa, jota se ei voisi kerätä yksin. Julkinen yhteisvaroitus on tämän pitkän, suurelta osin näkymättömän yhteistyön näkyvä lopputulos.

Organisaation on kohdeltava sähköpostia kriittisenä järjestelmänä

Laundry Bearin tapauksesta seuraa puolustukselle muutakin kuin kehotus asentaa yksi Zimbra-päivitys. Ensimmäinen johtopäätös on, että sähköpostijärjestelmän on kuuluttava organisaation kriittisiin järjestelmiin. Sen versionhallinnan, lokituksen, valvonnan, varautumisen ja poikkeamien käsittelyn on vastattava sen sisältämän tiedon arvoa.

Päivitykset on asennettava nopeasti erityisesti internetiin avoimiin sähköposti- ja yhteistyöpalveluihin. Haavoittuvat Zimbra 10 -versiot on päivitettävä vähintään versioon 10.0.18 tai 10.1.13 tai niitä uudempaan tuettuun versioon. Jos välitön päivitys ei ole mahdollinen, yhteisvaroitus suosittelee välttämään haavoittuvaa Classic-webmail-käyttöliittymää ja käyttämään väliaikaisesti vaihtoehtoista sähköpostiohjelmaa.

Toinen johtopäätös koskee identiteettejä. Pelkkä tekstiviestiin tai helposti kaapattavaan istuntoon perustuva monivaiheinen tunnistautuminen ei riitä kaikkia uhkia vastaan. Tietojenkalastelua kestävät FIDO2-avaimet ja passkey-tunnistautuminen vaikeuttavat tunnusten välittämistä väärennetylle palvelulle. Sovelluskohtaisten salasanojen käyttöä on rajoitettava, niiden luomista valvottava ja tarpeettomat vanhat protokollat, kuten IMAP ja POP3, on suljettava.

Kolmas johtopäätös on valvonnan merkitys. Laundry Bear jätti jälkiä Zimbran mailbox.log-lokiin. Epätavallisen suuri määrä osoiteluettelohakuja, CreateAppSpecificPasswordRequest-komento nimellä ”ZimbraWeb” ja kaksivaiheisen tunnistautumisen varakoodeja hakeva GetScratchCodesRequest ovat vahvoja varoitusmerkkejä. Myös poikkeavat DNS-kyselyt, suuret lähtevät tietomäärät ja yhteydet tuntemattomiin virtuaalipalvelimiin voivat paljastaa tiedonsiirron.

Neljäs johtopäätös liittyy murron jälkeiseen palautumiseen. Salasanan vaihtamisen lisäksi on peruutettava sovelluskohtaiset salasanat, varakoodit, istunnot ja epäilyttävät OAuth-valtuutukset. Postilaatikon delegoinnit, välityssäännöt ja protokolla-asetukset on tarkastettava. Jos selain saattoi täyttää salasanan hyökkääjän näkymättömään kenttään, myös muut selaimeen tallennetut tunnukset voivat olla vaarantuneita.

Viides johtopäätös on organisatorinen. Sähköpostin suojaaminen ei ole vain tietotekniikkaosaston tehtävä. Johdon on päätettävä, kuinka nopeasti kriittiset haavoittuvuudet paikataan, kuinka pitkään lokit säilytetään, millaisia vanhoja protokollia sallitaan ja kuka johtaa tutkintaa, jos valtiollista vakoilua epäillään. Vastaus ei voi riippua siitä, sattuuko yksittäinen ylläpitäjä huomaamaan poikkeavan lokirivin.

Laundry Bear on kuva uudesta normaalista

Laundry Bear ei ole vaarallinen siksi, että se olisi jokaisessa suhteessa poikkeuksellisen teknisesti edistynyt. Se on vaarallinen, koska se yhdistää edulliset, helposti saatavat ja riittävän tehokkaat menetelmät selkeään tiedustelutavoitteeseen.

Ryhmän kehitys salasanasumutuksesta, ostetuista istuntoevästeistä ja avoimen lähdekoodin kalastelutyökaluista Zimbra-nollapäivän järjestelmälliseen hyödyntämiseen tapahtui hieman yli vuodessa. Samalla se säilytti kykynsä toimia nopeasti ja suuressa mittakaavassa. Tämä kertoo, ettei uuden valtiollisen toimijan tarvitse rakentaa vuosikymmeniä omaa teknistä osaamista ennen kuin se voi muodostaa vakavan uhan.

Tapaus osoittaa myös, ettei organisaatio voi päätellä hyökkääjän tasoa ensimmäisen havaitun menetelmän perusteella. Salasanojen arvailija voi seuraavassa operaatiossa käyttää nollapäivää. Yksinkertainen kalasteluviesti voi sisältää selaimessa toimivan tiedonkeruujärjestelmän. Keskitasoiseksi luokiteltu XSS-haavoittuvuus voi avata tiedustelijalle kolmen kuukauden sähköpostit, organisaation osoitteiston ja pysyvän pääsyn postilaatikkoon.

Supo ja sotilastiedustelu arvioivat, että Laundry Bear pyrkii jatkossakin tunkeutumaan sensitiivisten toimialojen sähköpostijärjestelmiin, vaikka juuri tämän Zimbra-haavoittuvuuden hyödyntämismahdollisuudet vähenevät päivitysten myötä. Ryhmän tavoite ei ole Zimbra sinänsä vaan sähköpostien sisältämä tieto. Kun yksi reitti suljetaan, toimija etsii uuden haavoittuvuuden, varastetun istunnon tai huijattavan käyttäjän.

Puolustuksen tärkein johtopäätös on epäglamourinen. Järjestelmät on tunnettava, päivitykset asennettava ajoissa, lokit kerättävä, tunnukset suojattava ja poikkeamat tutkittava loppuun asti. Palautumisessa on tarkastettava myös ne sivuovet, joita hyökkääjä on voinut avata ensimmäisen murron jälkeen. Järjestelmien ylläpito on suurelta osin arkista, toistuvaa ja näkymätöntä työtä. Juuri tämän työn laiminlyönnistä hiljaiset vakoojat kuitenkin elävät.