OWAReaper-Backdoor nimmt Microsoft-Exchange-Benutzer ins Visier

Von Russland gesponserte Hacker nutzen eine Schwachstelle in Microsoft Exchange Outlook Web Access aus, um OWAReaper einzusetzen, eine Webmail-Backdoor, die auf langfristigen Postfachzugriff ausgelegt ist.

Die Gruppe, die unter den Namen Laundry Bear und Void Blizzard bekannt ist, wird von Proofpoint als TA488 verfolgt. Zu ihren Zielen gehören Regierungsorganisationen in den Vereinigten Staaten und Europa sowie Telekommunikations-, Finanz-, Gastgewerbe- und Luft- und Raumfahrtunternehmen.

Angriff nutzt CVE-2026-42897 aus

Die Kampagne nutzt CVE-2026-42897 aus, eine Cross-Site-Scripting-Schwachstelle in Outlook Web Access.

Die Schwachstelle ermöglicht die Ausführung von schädlichem JavaScript, wenn ein Benutzer eine speziell gestaltete E-Mail im Lesebereich von OWA öffnet. Der Angriff erfordert keine schädlichen Anhänge, Links oder zusätzlichen Klick.

Microsoft hat die Schwachstelle am 14. Mai offengelegt. Die vorliegenden Beweise deuten jedoch darauf hin, dass Laundry Bear sie bereits vor der Offenlegung als Zero-Day ausgenutzt hat.

Die Angreifer lassen die E-Mails bewusst unbedeutend erscheinen. Ein Empfänger kann die Nachricht öffnen, sie als Spam verwerfen und auf eine Meldung verzichten, da sie keine offensichtlichen schädlichen Links oder Anhänge enthält.

Die Nachrichten verstecken JavaScript-Loader und Base64-codierte Nutzdaten in URLs von Social-Media-Symbolen. Die schädlichen Daten erscheinen nach dem #-Zeichen, was die Identifizierung der E-Mail als Angriff erschwert.

OWAReaper entfernt Beweise und sammelt Anmeldeinformationen

OWAReaper agiert vollständig innerhalb des Lesebereichs von Outlook Web Access. Nach der Ausführung überschreibt die Backdoor die ursprüngliche E-Mail auf dem Exchange-Server und beseitigt alle Spuren des Exploits.

Anschließend sammelt sie Informationen über das Opfer, darunter E-Mail-Adresse, Benutzername und Outlook-Konfigurationsdetails.

Die Malware erstellt außerdem unsichtbare Browser-Elemente, die versuchen, Anmeldeinformationen abzufangen, die von einem Passwort-Manager oder der Autofill-Funktion des Browsers automatisch eingegeben werden.

OWAReaper sucht nach Outlook-Add-Ins mit der Berechtigung ReadWriteMailbox. Sobald es ein geeignetes Add-In findet, missbraucht es diesen Zugriff, um OAuth-Token zu stehlen.

Postfachberechtigungen schaffen serverseitige Persistenz

Die Backdoor kann dem Exchange-Default-Benutzer Besitzer-Mailboxberechtigungen für sämtliche E-Mail-Ordner gewähren. Diese Konfiguration kann es einem Angreifer ermöglichen, über ein anderes authentifiziertes Konto innerhalb der Organisation auf das kompromittierte Postfach zuzugreifen.

Da Exchange diese Berechtigungen auf dem Server speichert, kann eine Neuinstallation des Computers des Opfers den Angreifer möglicherweise nicht entfernen. Auch die Änderung des Benutzerkennworts kann den Zugriff nicht blockieren, wenn die schädlichen Postfachberechtigungen und die gestohlenen OAuth-Token aktiv bleiben.

OWAReaper schafft einen weiteren Persistenzmechanismus über den Offlinecache von Outlook Web Access. Die Malware aktiviert die OWA-Zwischenspeicherung und injiziert ein schädliches iframe in Nachrichten, die in der IndexedDB-Datenbank des Browsers gespeichert sind.

Das iframe wird jedes Mal ausgeführt, wenn das Opfer eine vergiftete Nachricht aus dem Offlinecache öffnet. Diese Methode funktioniert unabhängig von den serverseitigen Postfachberechtigungen.

In GitHub und E-Mail-Nachrichten versteckte Befehle

OWAReaper unterstützt zwei Command-and-Control-Methoden.

Die erste Methode verwendet verschlüsselte Befehle, die in GitHub-Commit-Nachrichten versteckt sind. Die zweite setzt auf speziell formatierte E-Mails, die direkt an das kompromittierte Postfach gesendet werden.

Für den Datendiebstahl sendet die Malware verschlüsselte Informationen hauptsächlich über HTTPS über Bild-Content-Delivery-Network-Domains. Dabei werden in Anfragepfade eingefügte Daten mit AES-CTR verschlüsselt.

Ein sekundärer Kanal sendet gestohlene Informationen direkt an einen vom Angreifer kontrollierten Server, wenn die primäre Methode fehlschlägt.

Organisationen sollten Exchange-Berechtigungen überprüfen

Proofpoint hat eine begrenzte Anzahl von Kompromittierungsindikatoren veröffentlicht, darunter schädliche Domains und HTML, das den Exploit und die Nutzlast enthält.

Organisationen sollten das Microsoft-Sicherheitsupdate für CVE-2026-42897 installieren und ihre Exchange-Umgebungen auf Anzeichen einer Kompromittierung untersuchen. Administratoren sollten Folgendes überprüfen:

• Postfachberechtigungen, die Default-Benutzern zugewiesen sind
• Outlook-Add-Ins mit umfassendem Postfachzugriff
• Verdächtige OAuth-Token-Aktivitäten
• Ungewöhnliche GitHub-API-Anfragen
• Möglicherweise vergiftete Nachrichten in OWA-Caches

Das Zurücksetzen von Kennwörtern und die Neuinstallation von Geräten können OWAReaper möglicherweise nicht vollständig entfernen, da die Angreifer den Zugriff über serverseitige Berechtigungen und offline zwischengespeicherte Nachrichten aufrechterhalten können.

In anderen Sicherheitsmeldungen wurde bekannt, dass Hacker Hotel-WLAN nutzen, um Microsoft-365-Konten zu stehlen, während die Chaos-Ransomware msaRAT einsetzt, um den Datenverkehr in Chrome und Edge zu verstecken.

Als Reaktion auf neu auftretende Cyberbedrohungen hat Microsoft zudem das neue MAI-Cyber-1-Flash-Modell veröffentlicht.

Über BleepingComputer