حملات Business Email Compromise (BEC) معمولاً از یک الگوی آشنا پیروی می‌کنند: نفوذ به صندوق ورودی، رصد بی‌صدا عملیات، شناسایی زنجیره تأییدیه‌ها و در نهایت تغییر مسیر وجوه یا سرقت داده‌های حساس. اما یافته‌های اخیر در مورد Zimbra Collaboration Suite نشان می‌دهد که این مدل سنتی در حال تغییر است.
فراتر از سرقت داده‌ها: دستکاری محیط
تحقیقات مشترک Rapid7 و Zimbra منجر به شناسایی بیش از ۵۰ آسیب‌پذیری شده است. نکته کلیدی این است که برخی از این حفره‌ها به عامل تهدید اجازه می‌دهند نه تنها محیط را رصد کنند، بلکه آن را فعالانه «بازنویسی» کنند. این قابلیت شامل جعل فرستنده بدون نیاز به اعتبارنامه (Credentials)، کنترل دیدپذیری اینباکس و تغییر اسناد مشترک و تقویم‌ها است.
تحلیل آسیب‌پذیری‌های مورد استفاده
سوابق نشان می‌دهد که Zimbra هدف حملات گسترده‌ای بوده است. برخی از موارد بحرانی عبارتند از:
- CVE-2024-45519: تزریق دستور (Command Injection) در سرویس postjournal که اجازه اجرای دستورات بدون احراز هویت را می‌دهد.
- CVE-2025-27915: یک آسیب‌پذیری Stored XSS در کلاینت وب کلاسیک که از طریق پیوست‌های .ICS فعال می‌شود. این مورد به عنوان یک زیرو دِی علیه اهداف نظامی برزیلی برای سرقت ایمیل‌ها و تنظیم فیلترهای Forwarding استفاده شده است.
- CVE-2026-73570: تزریق دستور بدون احراز هویت از طریق مدیریت اعلان‌های SNMP.
- CVE-2022-27925 و CVE-2022-37042: زنجیره‌ای از Path Traversal و Authentication Bypass که اجازه استقرار JSP Shell را فراهم می‌کرد.
جنگ تقویم‌ها و مهندسی اجتماعی پیشرفته
وقتی مهاجم بتواند محتوای سیستم را تغییر دهد، BEC از یک کلاهبرداری ساده به یک «عملیات روان‌شناختی» تبدیل می‌شود. برای مثال، مهاجم می‌تواند ایمیلی را از طرف مدیر مالی (CFO) ارسال کرده و سپس آن را از پوشه Sent حذف کند یا برعکس، آن را باقی بگذارد تا قربانی را دچار تردید در مورد حافظه و اقدامات خود کند (Gaslighting).
علاوه بر ایمیل، «جنگ تقویم‌ها» (Calendar Warfare) وارد عمل می‌شود. مهاجم می‌تواند جلسات را بدون ایجاد اعلان تغییر دهد یا یک «جلسه اضطراری هیئت مدیره» با لینک Zoom مخرب در تقویم کاربر قرار دهد. از آنجایی که دعوت‌نامه از روزها قبل در تقویم بوده، کاربر در لحظه کلیک، آن را مشکوک نمی‌بیند.
ساخت واقعیت سازمانی جعلی
ترکیب این موارد (یک سند جعلی در درایو سازمانی، یک ایمیل تأیید از طرف مدیر و یک جلسه اجباری در تقویم) منجر به ایجاد یک «واقعیت سازمانی ساخته‌شده» (Manufactured Enterprise Reality) می‌شود. در این سناریو، مهاجم از اعتمادی که سازمان به ابزارهای خود دارد استفاده می‌کند تا تصمیمات تجاری واقعی را بر اساس زمینه‌های جعلی هدایت کند.
