{"id":4384,"date":"2026-07-30T10:01:36","date_gmt":"2026-07-30T10:01:36","guid":{"rendered":"https:\/\/windowsreport.com\/de\/owareaper-backdoor-nimmt-microsoft-exchange-benutzer-ins-visier\/"},"modified":"2026-07-30T10:01:36","modified_gmt":"2026-07-30T10:01:36","slug":"owareaper-backdoor-nimmt-microsoft-exchange-benutzer-ins-visier","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/de\/owareaper-backdoor-nimmt-microsoft-exchange-benutzer-ins-visier\/","title":{"rendered":"OWAReaper-Backdoor nimmt Microsoft-Exchange-Benutzer ins Visier"},"content":{"rendered":"\n

Von Russland gesponserte Hacker nutzen eine Schwachstelle in Microsoft Exchange Outlook Web Access aus, um OWAReaper einzusetzen, eine Webmail-Backdoor, die auf langfristigen Postfachzugriff ausgelegt ist.<\/p>\n\n\n\n

Die Gruppe, die unter den Namen Laundry Bear und Void Blizzard bekannt ist, wird von Proofpoint<\/a> als TA488 verfolgt. Zu ihren Zielen geh\u00f6ren Regierungsorganisationen in den Vereinigten Staaten und Europa sowie Telekommunikations-, Finanz-, Gastgewerbe- und Luft- und Raumfahrtunternehmen.<\/p>\n\n\n\n

Angriff nutzt CVE-2026-42897 aus<\/h2>\n\n\n\n

Die Kampagne nutzt CVE-2026-42897<\/a> aus, eine Cross-Site-Scripting-Schwachstelle in Outlook Web Access.<\/p>\n\n\n\n

Die Schwachstelle erm\u00f6glicht die Ausf\u00fchrung von sch\u00e4dlichem JavaScript, wenn ein Benutzer eine speziell gestaltete E-Mail im Lesebereich von OWA \u00f6ffnet. Der Angriff erfordert keine sch\u00e4dlichen Anh\u00e4nge, Links oder zus\u00e4tzlichen Klick.<\/p>\n\n\n\n

Microsoft hat die Schwachstelle am 14. Mai offengelegt. Die vorliegenden Beweise deuten jedoch darauf hin, dass Laundry Bear sie bereits vor der Offenlegung als Zero-Day ausgenutzt hat.<\/p>\n\n\n\n

Die Angreifer lassen die E-Mails bewusst unbedeutend erscheinen. Ein Empf\u00e4nger kann die Nachricht \u00f6ffnen, sie als Spam verwerfen und auf eine Meldung verzichten, da sie keine offensichtlichen sch\u00e4dlichen Links oder Anh\u00e4nge enth\u00e4lt.<\/p>\n\n\n\n

Die Nachrichten verstecken JavaScript-Loader und Base64-codierte Nutzdaten in URLs von Social-Media-Symbolen. Die sch\u00e4dlichen Daten erscheinen nach dem #<\/code>-Zeichen, was die Identifizierung der E-Mail als Angriff erschwert.<\/p>\n\n\n\n

OWAReaper entfernt Beweise und sammelt Anmeldeinformationen<\/h3>\n\n\n\n

OWAReaper agiert vollst\u00e4ndig innerhalb des Lesebereichs von Outlook Web Access. Nach der Ausf\u00fchrung \u00fcberschreibt die Backdoor die urspr\u00fcngliche E-Mail auf dem Exchange-Server und beseitigt alle Spuren des Exploits.<\/p>\n\n\n\n

Anschlie\u00dfend sammelt sie Informationen \u00fcber das Opfer, darunter E-Mail-Adresse, Benutzername und Outlook-Konfigurationsdetails.<\/p>\n\n\n\n

Die Malware erstellt au\u00dferdem unsichtbare Browser-Elemente, die versuchen, Anmeldeinformationen abzufangen, die von einem Passwort-Manager oder der Autofill-Funktion des Browsers automatisch eingegeben werden.<\/p>\n\n\n\n

OWAReaper sucht nach Outlook-Add-Ins mit der Berechtigung ReadWriteMailbox<\/code>. Sobald es ein geeignetes Add-In findet, missbraucht es diesen Zugriff, um OAuth-Token zu stehlen.<\/p>\n\n\n\n

Postfachberechtigungen schaffen serverseitige Persistenz<\/h3>\n\n\n\n

Die Backdoor kann dem Exchange-Default-Benutzer Besitzer-Mailboxberechtigungen f\u00fcr s\u00e4mtliche E-Mail-Ordner gew\u00e4hren. Diese Konfiguration kann es einem Angreifer erm\u00f6glichen, \u00fcber ein anderes authentifiziertes Konto innerhalb der Organisation auf das kompromittierte Postfach zuzugreifen.<\/p>\n\n\n\n

Da Exchange diese Berechtigungen auf dem Server speichert, kann eine Neuinstallation des Computers des Opfers den Angreifer m\u00f6glicherweise nicht entfernen. Auch die \u00c4nderung des Benutzerkennworts kann den Zugriff nicht blockieren, wenn die sch\u00e4dlichen Postfachberechtigungen und die gestohlenen OAuth-Token aktiv bleiben.<\/p>\n\n\n\n

OWAReaper schafft einen weiteren Persistenzmechanismus \u00fcber den Offlinecache von Outlook Web Access. Die Malware aktiviert die OWA-Zwischenspeicherung und injiziert ein sch\u00e4dliches iframe in Nachrichten, die in der IndexedDB-Datenbank des Browsers gespeichert sind.<\/p>\n\n\n\n

Das iframe wird jedes Mal ausgef\u00fchrt, wenn das Opfer eine vergiftete Nachricht aus dem Offlinecache \u00f6ffnet. Diese Methode funktioniert unabh\u00e4ngig von den serverseitigen Postfachberechtigungen.<\/p>\n\n\n\n

In GitHub und E-Mail-Nachrichten versteckte Befehle<\/h3>\n\n\n\n

OWAReaper unterst\u00fctzt zwei Command-and-Control-Methoden.<\/p>\n\n\n\n

Die erste Methode verwendet verschl\u00fcsselte Befehle, die in GitHub-Commit-Nachrichten versteckt sind. Die zweite setzt auf speziell formatierte E-Mails, die direkt an das kompromittierte Postfach gesendet werden.<\/p>\n\n\n\n

F\u00fcr den Datendiebstahl sendet die Malware verschl\u00fcsselte Informationen haupts\u00e4chlich \u00fcber HTTPS \u00fcber Bild-Content-Delivery-Network-Domains. Dabei werden in Anfragepfade eingef\u00fcgte Daten mit AES-CTR verschl\u00fcsselt.<\/p>\n\n\n\n

Ein sekund\u00e4rer Kanal sendet gestohlene Informationen direkt an einen vom Angreifer kontrollierten Server, wenn die prim\u00e4re Methode fehlschl\u00e4gt.<\/p>\n\n\n\n

Organisationen sollten Exchange-Berechtigungen \u00fcberpr\u00fcfen<\/h3>\n\n\n\n

Proofpoint hat eine begrenzte Anzahl von Kompromittierungsindikatoren ver\u00f6ffentlicht, darunter sch\u00e4dliche Domains und HTML, das den Exploit und die Nutzlast enth\u00e4lt.<\/p>\n\n\n\n

Organisationen sollten das Microsoft-Sicherheitsupdate f\u00fcr CVE-2026-42897 installieren und ihre Exchange-Umgebungen auf Anzeichen einer Kompromittierung untersuchen. Administratoren sollten Folgendes \u00fcberpr\u00fcfen:<\/p>\n\n\n\n