OWAReaper-Backdoor zielt auf Microsoft-Exchange-Nutzer ab

Staatlich gesteuerte russische Hacker nutzen eine Sicherheitslücke in Microsoft Exchange Outlook Web Access aus, um OWAReaper einzusetzen, eine Webmail-Hintertür, die für langfristigen Postfachzugriff entwickelt wurde.

Die Gruppe, die als Laundry Bear und Void Blizzard bekannt ist, wird von Proofpoint unter der Bezeichnung TA488 geführt. Zu ihren Zielen gehören Regierungsorganisationen in den Vereinigten Staaten und Europa sowie Telekommunikations-, Finanz-, Gastgewerbe- und Luft- und Raumfahrtunternehmen.

Angriff nutzt CVE-2026-42897 aus

Die Kampagne nutzt CVE-2026-42897 aus, eine Cross-Site-Scripting-Sicherheitslücke in Outlook Web Access.

Die Sicherheitslücke ermöglicht die Ausführung von bösartigem JavaScript, wenn ein Benutzer eine speziell gestaltete E-Mail im OWA-Lesebereich öffnet. Der Angriff erfordert keinen bösartigen Anhang, Link oder zusätzlichen Klick.

Microsoft hat die Sicherheitslücke am 14. Mai offengelegt. Hinweise deuten jedoch darauf hin, dass Laundry Bear sie bereits vor der Offenlegung als Zero-Day ausgenutzt hat.

Die Angreifer lassen die E-Mails bewusst unwichtig aussehen. Ein Empfänger könnte die Nachricht öffnen, sie als Spam abtun und nicht melden, weil sie keine offensichtlichen bösartigen Links oder Anhänge enthält.

Die Nachrichten verstecken JavaScript-Loader und Base64-kodierte Nutzdaten in URLs von Social-Media-Symbolen. Die bösartigen Daten erscheinen nach dem #-Zeichen, was die E-Mail schwerer als Angriff erkennbar macht.

OWAReaper entfernt Beweise und sammelt Anmeldeinformationen

OWAReaper agiert vollständig innerhalb des Outlook Web Access-Lesebereichs. Sobald die Hintertür ausgeführt wird, schreibt sie die ursprüngliche E-Mail auf dem Exchange-Server um und entfernt alle Spuren des Exploits.

Anschließend sammelt sie Informationen über das Opfer, darunter E-Mail-Adresse, Benutzername und Outlook-Konfigurationsdetails.

Die Malware erstellt außerdem unsichtbare Browserelemente, die versuchen, automatisch von einem Passwort-Manager oder der Autofill-Funktion des Browsers eingegebene Anmeldeinformationen abzufangen.

OWAReaper sucht nach Outlook-Add-Ins mit ReadWriteMailbox-Berechtigungen. Wenn ein geeignetes Add-In gefunden wird, missbraucht sie diesen Zugriff, um OAuth-Tokens zu stehlen.

Postfachberechtigungen schaffen serverseitige Persistenz

Die Hintertür kann dem Exchange-Benutzer „Default“ Besitzerberechtigungen für alle E-Mail-Ordner erteilen. Diese Konfiguration könnte es einem Angreifer ermöglichen, über ein anderes authentifiziertes Konto innerhalb der Organisation auf das kompromittierte Postfach zuzugreifen.

Da Exchange diese Berechtigungen auf dem Server speichert, kann die Neuinstallation des Computers des Opfers den Angreifer möglicherweise nicht entfernen. Auch das Ändern des Benutzerkennworts kann den Zugriff nicht blockieren, wenn die bösartigen Postfachberechtigungen und gestohlenen OAuth-Tokens weiterhin aktiv sind.

OWAReaper schafft einen weiteren Persistenzmechanismus über den Outlook Web Access-Offlinecache. Sie aktiviert OWA-Caching und injiziert einen bösartigen iframe in Nachrichten, die in der IndexedDB-Datenbank des Browsers gespeichert sind.

Der iframe wird ausgeführt, sobald das Opfer eine manipulierte Nachricht aus dem Offlinecache öffnet. Diese Methode funktioniert unabhängig von den serverseitigen Postfachberechtigungen.

In GitHub und E-Mail-Nachrichten versteckte Befehle

OWAReaper unterstützt zwei Command-and-Control-Methoden.

Die erste Methode verwendet verschlüsselte Befehle, die in GitHub-Commit-Nachrichten versteckt sind. Die zweite beruht auf speziell formatierten E-Mails, die direkt an das kompromittierte Postfach gesendet werden.

Zum Datendiebstahl sendet die Malware hauptsächlich verschlüsselte Informationen über HTTPS über Bild-CDN-Domänen. Sie verschlüsselt Daten, die in Anforderungspfade eingefügt werden, mit AES-CTR.

Ein sekundärer Kanal sendet gestohlene Informationen direkt an einen vom Angreifer kontrollierten Server, wenn die primäre Methode fehlschlägt.

Organisationen sollten Exchange-Berechtigungen überprüfen

Proofpoint hat eine begrenzte Anzahl von Indikatoren für eine Kompromittierung veröffentlicht, darunter bösartige Domänen und HTML, das den Exploit und die Nutzdaten enthält.

Organisationen sollten das Sicherheitsupdate von Microsoft für CVE-2026-42897 installieren und ihre Exchange-Umgebungen auf Anzeichen einer Kompromittierung untersuchen. Administratoren sollten Folgendes überprüfen:

• Postfachberechtigungen für Default-Benutzer
• Outlook-Add-Ins mit umfangreichem Postfachzugriff
• Verdächtige Aktivitäten bei OAuth-Tokens
• Ungewöhnliche GitHub-API-Anfragen
• Möglicherweise manipulierte Nachrichten, die in OWA-Caches gespeichert sind

Das Zurücksetzen von Passwörtern und die Neuinstallation von Geräten entfernen OWAReaper möglicherweise nicht vollständig, da die Angreifer über serverseitige Berechtigungen und offline zwischengespeicherte Nachrichten weiterhin Zugriff behalten können.

In anderen Sicherheitsnachrichten wurde entdeckt, dass Hacker Hotel-WLAN nutzen, um Microsoft-365-Konten zu stehlen, während die Chaos-Ransomware msaRAT einsetzt, um Datenverkehr in Chrome und Edge zu verstecken.

Um auf neue Cyberbedrohungen zu reagieren, hat Microsoft auch das neue MAI-Cyber-1-Flash-Modell veröffentlicht.

Via BleepingComputer