{"id":273,"date":"2026-07-30T10:08:03","date_gmt":"2026-07-30T10:08:03","guid":{"rendered":"https:\/\/windowsreport.com\/dk\/owareaper-backdoor-retter-sig-mod-microsoft-exchange-brugere\/"},"modified":"2026-07-30T10:08:03","modified_gmt":"2026-07-30T10:08:03","slug":"owareaper-backdoor-retter-sig-mod-microsoft-exchange-brugere","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/dk\/owareaper-backdoor-retter-sig-mod-microsoft-exchange-brugere\/","title":{"rendered":"OWAReaper Backdoor retter sig mod Microsoft Exchange-brugere"},"content":{"rendered":"\n

Russiske statssponsorerede hackere udnytter en s\u00e5rbarhed i Microsoft Exchange Outlook Web Access til at implementere OWAReaper, en webmail-bagd\u00f8r designet til langvarig postkasseadgang.<\/p>\n\n\n\n

Gruppen, kendt som Laundry Bear og Void Blizzard, spores af Proofpoint<\/a> som TA488. Dens m\u00e5l omfatter regeringsorganisationer i USA og Europa samt telekommunikations-, finans-, hotel- og luftfartsselskaber.<\/p>\n\n\n\n

Angreb udnytter CVE-2026-42897<\/h2>\n\n\n\n

Kampagnen udnytter CVE-2026-42897<\/a>, en cross-site scripting-s\u00e5rbarhed i Outlook Web Access.<\/p>\n\n\n\n

S\u00e5rbarheden tillader, at ondsindet JavaScript udf\u00f8res, n\u00e5r en bruger \u00e5bner en s\u00e6rligt udformet e-mail i OWA-l\u00e6seruden. Angrebet kr\u00e6ver ingen ondsindet vedh\u00e6ftning, intet link og ingen yderligere klik.<\/p>\n\n\n\n

Microsoft offentliggjorde s\u00e5rbarheden den 14. maj. Dog tyder tilg\u00e6ngelige beviser p\u00e5, at Laundry Bear allerede havde udnyttet den som et zero-day-angreb f\u00f8r offentligg\u00f8relsen.<\/p>\n\n\n\n

Angriberne f\u00e5r bevidst e-mailene til at se uvigtige ud. En modtager kan \u00e5bne beskeden, afvise den som spam og undlade at rapportere den, fordi den ikke indeholder \u00e5benlyse ondsindede links eller vedh\u00e6ftninger.<\/p>\n\n\n\n

Beskederne skjuler JavaScript-indl\u00e6sere og Base64-kodede nyttelaster inden i URL’er til sociale medieikoner. De ondsindede data vises efter tegnet #<\/code>, hvilket g\u00f8r e-mailen sv\u00e6rere at identificere som et angreb.<\/p>\n\n\n\n

OWAReaper fjerner beviser og indsamler legitimationsoplysninger<\/h3>\n\n\n\n

OWAReaper fungerer udelukkende i Outlook Web Access-l\u00e6seruden. N\u00e5r den udf\u00f8res, omskriver bagd\u00f8ren den oprindelige e-mail p\u00e5 Exchange-serveren og fjerner beviser for udnyttelsen.<\/p>\n\n\n\n

Derefter indsamler den oplysninger om offeret, herunder e-mailadresse, brugernavn og detaljer om Outlook-konfiguration.<\/p>\n\n\n\n

Malwaren opretter ogs\u00e5 usynlige browserelementer, der fors\u00f8ger at opfange legitimationsoplysninger, som automatisk indtastes af en adgangskodeadministrator eller browserens autofyld-funktion.<\/p>\n\n\n\n

OWAReaper s\u00f8ger efter Outlook-tilf\u00f8jelser med ReadWriteMailbox<\/code>-tilladelser. N\u00e5r den finder en passende tilf\u00f8jelse, misbruger den denne adgang til at stj\u00e6le OAuth-tokens.<\/p>\n\n\n\n

Postkassetilladelser skaber server-side persistens<\/h3>\n\n\n\n

Bagd\u00f8ren kan tildele ejerniveau-postkassetilladelser til Exchange Standardbrugeren p\u00e5 tv\u00e6rs af alle mailmapper. Denne konfiguration kan give en angriber mulighed for at f\u00e5 adgang til den kompromitterede postkasse via en anden godkendt konto i organisationen.<\/p>\n\n\n\n

Da Exchange gemmer disse tilladelser p\u00e5 serveren, fjerner en geninstallation af offerets computer muligvis ikke angriberen. \u00c6ndring af brugerens adgangskode kan ogs\u00e5 mislykkes med at blokere adgangen, hvis de ondsindede postkassetilladelser og stj\u00e5lne OAuth-tokens forbliver aktive.<\/p>\n\n\n\n

OWAReaper skaber en anden persistensmekanisme via Outlook Web Access-offlinecachen. Den aktiverer OWA-caching og injicerer en ondsindet iframe i beskeder, der er gemt i browserens IndexedDB-database.<\/p>\n\n\n\n

Iframe’en udf\u00f8res, hver gang offeret \u00e5bner en inficeret besked fra offlinecachen. Denne metode fungerer uafh\u00e6ngigt af serversidens postkassetilladelser.<\/p>\n\n\n\n

Kommandoer gemt i GitHub- og e-mailbeskeder<\/h3>\n\n\n\n

OWAReaper underst\u00f8tter to command-and-control-metoder.<\/p>\n\n\n\n

Den f\u00f8rste metode bruger krypterede kommandoer gemt i GitHub commit-beskeder. Den anden er afh\u00e6ngig af specielt formaterede e-mails, der sendes direkte til den kompromitterede postkasse.<\/p>\n\n\n\n

Til datatyveri sender malwaren prim\u00e6rt krypterede oplysninger over HTTPS via billed-CDN-dom\u00e6ner. Den krypterer data, der placeres i request-stier, med AES-CTR.<\/p>\n\n\n\n

En sekund\u00e6r kanal sender stj\u00e5lne oplysninger direkte til en angriberstyret server, n\u00e5r den prim\u00e6re metode fejler.<\/p>\n\n\n\n

Organisationer b\u00f8r gennemg\u00e5 Exchange-tilladelser<\/h3>\n\n\n\n

Proofpoint offentliggjorde et begr\u00e6nset antal indikatorer for kompromittering, herunder ondsindede dom\u00e6ner og HTML, der indeholder udnyttelsen og nyttelasten.<\/p>\n\n\n\n

Organisationer b\u00f8r installere Microsofts sikkerhedsopdatering til CVE-2026-42897 og inspicere deres Exchange-milj\u00f8er for tegn p\u00e5 kompromittering. Administratorer b\u00f8r gennemg\u00e5:<\/p>\n\n\n\n