{"id":4386,"date":"2026-07-30T10:09:43","date_gmt":"2026-07-30T10:09:43","guid":{"rendered":"https:\/\/windowsreport.com\/de\/owareaper-backdoor-zielt-auf-microsoft-exchange-nutzer-ab\/"},"modified":"2026-07-30T10:09:43","modified_gmt":"2026-07-30T10:09:43","slug":"owareaper-backdoor-zielt-auf-microsoft-exchange-nutzer-ab","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/de\/owareaper-backdoor-zielt-auf-microsoft-exchange-nutzer-ab\/","title":{"rendered":"OWAReaper-Backdoor zielt auf Microsoft-Exchange-Nutzer ab"},"content":{"rendered":"\n

Staatlich gesteuerte russische Hacker nutzen eine Sicherheitsl\u00fccke in Microsoft Exchange Outlook Web Access aus, um OWAReaper einzusetzen, eine Webmail-Hintert\u00fcr, die f\u00fcr langfristigen Postfachzugriff entwickelt wurde.<\/p>\n\n\n\n

Die Gruppe, die als Laundry Bear und Void Blizzard bekannt ist, wird von Proofpoint<\/a> unter der Bezeichnung TA488 gef\u00fchrt. Zu ihren Zielen geh\u00f6ren Regierungsorganisationen in den Vereinigten Staaten und Europa sowie Telekommunikations-, Finanz-, Gastgewerbe- und Luft- und Raumfahrtunternehmen.<\/p>\n\n\n\n

Angriff nutzt CVE-2026-42897 aus<\/h2>\n\n\n\n

Die Kampagne nutzt CVE-2026-42897<\/a> aus, eine Cross-Site-Scripting-Sicherheitsl\u00fccke in Outlook Web Access.<\/p>\n\n\n\n

Die Sicherheitsl\u00fccke erm\u00f6glicht die Ausf\u00fchrung von b\u00f6sartigem JavaScript, wenn ein Benutzer eine speziell gestaltete E-Mail im OWA-Lesebereich \u00f6ffnet. Der Angriff erfordert keinen b\u00f6sartigen Anhang, Link oder zus\u00e4tzlichen Klick.<\/p>\n\n\n\n

Microsoft hat die Sicherheitsl\u00fccke am 14. Mai offengelegt. Hinweise deuten jedoch darauf hin, dass Laundry Bear sie bereits vor der Offenlegung als Zero-Day ausgenutzt hat.<\/p>\n\n\n\n

Die Angreifer lassen die E-Mails bewusst unwichtig aussehen. Ein Empf\u00e4nger k\u00f6nnte die Nachricht \u00f6ffnen, sie als Spam abtun und nicht melden, weil sie keine offensichtlichen b\u00f6sartigen Links oder Anh\u00e4nge enth\u00e4lt.<\/p>\n\n\n\n

Die Nachrichten verstecken JavaScript-Loader und Base64-kodierte Nutzdaten in URLs von Social-Media-Symbolen. Die b\u00f6sartigen Daten erscheinen nach dem #<\/code>-Zeichen, was die E-Mail schwerer als Angriff erkennbar macht.<\/p>\n\n\n\n

OWAReaper entfernt Beweise und sammelt Anmeldeinformationen<\/h3>\n\n\n\n

OWAReaper agiert vollst\u00e4ndig innerhalb des Outlook Web Access-Lesebereichs. Sobald die Hintert\u00fcr ausgef\u00fchrt wird, schreibt sie die urspr\u00fcngliche E-Mail auf dem Exchange-Server um und entfernt alle Spuren des Exploits.<\/p>\n\n\n\n

Anschlie\u00dfend sammelt sie Informationen \u00fcber das Opfer, darunter E-Mail-Adresse, Benutzername und Outlook-Konfigurationsdetails.<\/p>\n\n\n\n

Die Malware erstellt au\u00dferdem unsichtbare Browserelemente, die versuchen, automatisch von einem Passwort-Manager oder der Autofill-Funktion des Browsers eingegebene Anmeldeinformationen abzufangen.<\/p>\n\n\n\n

OWAReaper sucht nach Outlook-Add-Ins mit ReadWriteMailbox<\/code>-Berechtigungen. Wenn ein geeignetes Add-In gefunden wird, missbraucht sie diesen Zugriff, um OAuth-Tokens zu stehlen.<\/p>\n\n\n\n

Postfachberechtigungen schaffen serverseitige Persistenz<\/h3>\n\n\n\n

Die Hintert\u00fcr kann dem Exchange-Benutzer \u201eDefault\u201c Besitzerberechtigungen f\u00fcr alle E-Mail-Ordner erteilen. Diese Konfiguration k\u00f6nnte es einem Angreifer erm\u00f6glichen, \u00fcber ein anderes authentifiziertes Konto innerhalb der Organisation auf das kompromittierte Postfach zuzugreifen.<\/p>\n\n\n\n

Da Exchange diese Berechtigungen auf dem Server speichert, kann die Neuinstallation des Computers des Opfers den Angreifer m\u00f6glicherweise nicht entfernen. Auch das \u00c4ndern des Benutzerkennworts kann den Zugriff nicht blockieren, wenn die b\u00f6sartigen Postfachberechtigungen und gestohlenen OAuth-Tokens weiterhin aktiv sind.<\/p>\n\n\n\n

OWAReaper schafft einen weiteren Persistenzmechanismus \u00fcber den Outlook Web Access-Offlinecache. Sie aktiviert OWA-Caching und injiziert einen b\u00f6sartigen iframe in Nachrichten, die in der IndexedDB-Datenbank des Browsers gespeichert sind.<\/p>\n\n\n\n

Der iframe wird ausgef\u00fchrt, sobald das Opfer eine manipulierte Nachricht aus dem Offlinecache \u00f6ffnet. Diese Methode funktioniert unabh\u00e4ngig von den serverseitigen Postfachberechtigungen.<\/p>\n\n\n\n

In GitHub und E-Mail-Nachrichten versteckte Befehle<\/h3>\n\n\n\n

OWAReaper unterst\u00fctzt zwei Command-and-Control-Methoden.<\/p>\n\n\n\n

Die erste Methode verwendet verschl\u00fcsselte Befehle, die in GitHub-Commit-Nachrichten versteckt sind. Die zweite beruht auf speziell formatierten E-Mails, die direkt an das kompromittierte Postfach gesendet werden.<\/p>\n\n\n\n

Zum Datendiebstahl sendet die Malware haupts\u00e4chlich verschl\u00fcsselte Informationen \u00fcber HTTPS \u00fcber Bild-CDN-Dom\u00e4nen. Sie verschl\u00fcsselt Daten, die in Anforderungspfade eingef\u00fcgt werden, mit AES-CTR.<\/p>\n\n\n\n

Ein sekund\u00e4rer Kanal sendet gestohlene Informationen direkt an einen vom Angreifer kontrollierten Server, wenn die prim\u00e4re Methode fehlschl\u00e4gt.<\/p>\n\n\n\n

Organisationen sollten Exchange-Berechtigungen \u00fcberpr\u00fcfen<\/h3>\n\n\n\n

Proofpoint hat eine begrenzte Anzahl von Indikatoren f\u00fcr eine Kompromittierung ver\u00f6ffentlicht, darunter b\u00f6sartige Dom\u00e4nen und HTML, das den Exploit und die Nutzdaten enth\u00e4lt.<\/p>\n\n\n\n

Organisationen sollten das Sicherheitsupdate von Microsoft f\u00fcr CVE-2026-42897 installieren und ihre Exchange-Umgebungen auf Anzeichen einer Kompromittierung untersuchen. Administratoren sollten Folgendes \u00fcberpr\u00fcfen:<\/p>\n\n\n\n