{"id":277,"date":"2026-07-30T10:09:37","date_gmt":"2026-07-30T10:09:37","guid":{"rendered":"https:\/\/windowsreport.com\/dk\/owareaper-backdoor-retter-sig-mod-microsoft-exchange-brugere-2\/"},"modified":"2026-07-30T10:09:37","modified_gmt":"2026-07-30T10:09:37","slug":"owareaper-backdoor-retter-sig-mod-microsoft-exchange-brugere-2","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/dk\/owareaper-backdoor-retter-sig-mod-microsoft-exchange-brugere-2\/","title":{"rendered":"OWAReaper Backdoor retter sig mod Microsoft Exchange-brugere"},"content":{"rendered":"\n

Russiske statsst\u00f8ttede hackere udnytter en s\u00e5rbarhed i Microsoft Exchange Outlook Web Access til at installere OWAReaper, en webmail-bagd\u00f8r designet til langvarig postkasseadgang.<\/p>\n\n\n\n

Gruppen, der er kendt som Laundry Bear og Void Blizzard, spores af Proofpoint<\/a> som TA488. Dens m\u00e5l omfatter regeringsorganisationer i USA og Europa samt teleselskaber, finansvirksomheder, hotelk\u00e6der og luftfartsselskaber.<\/p>\n\n\n\n

Angreb udnytter CVE-2026-42897<\/h2>\n\n\n\n

Kampagnen udnytter CVE-2026-42897<\/a>, en cross-site scripting-s\u00e5rbarhed i Outlook Web Access.<\/p>\n\n\n\n

Fejlen g\u00f8r det muligt at afvikle ondsindet JavaScript, n\u00e5r en bruger \u00e5bner en specielt udformet e-mail i OWA-l\u00e6seruden. Angrebet kr\u00e6ver ingen ondsindet vedh\u00e6ftning, intet link og intet yderligere klik.<\/p>\n\n\n\n

Microsoft offentliggjorde s\u00e5rbarheden den 14. maj. Dog tyder tilg\u00e6ngelig dokumentation p\u00e5, at Laundry Bear allerede havde udnyttet den som et zero-day-angreb inden offentligg\u00f8relsen.<\/p>\n\n\n\n

Angriberne f\u00e5r bevidst e-mails til at se uvigtige ud. En modtager kan \u00e5bne beskeden, afvise den som spam og undlade at rapportere den, fordi den ikke indeholder \u00e5benlyse ondsindede links eller vedh\u00e6ftninger.<\/p>\n\n\n\n

Meddelelserne skjuler JavaScript-indl\u00e6sere og Base64-kodede nyttelaster i webadresser til sociale medie-ikoner. De ondsindede data optr\u00e6der efter tegnet #<\/code>, hvilket g\u00f8r e-mailen sv\u00e6rere at identificere som et angreb.<\/p>\n\n\n\n

OWAReaper fjerner spor og indsamler legitimationsoplysninger<\/h3>\n\n\n\n

OWAReaper k\u00f8rer udelukkende inde i Outlook Web Access-l\u00e6seruden. N\u00e5r den er aktiveret, omskriver bagd\u00f8ren den oprindelige e-mail p\u00e5 Exchange-serveren og fjerner sporene efter udnyttelsen.<\/p>\n\n\n\n

Derefter indsamler den oplysninger om offeret, herunder e-mailadresse, brugernavn og Outlook-konfigurationsoplysninger.<\/p>\n\n\n\n

Malwaren opretter ogs\u00e5 usynlige browserelementer, der fors\u00f8ger at opsnappe de legitimationsoplysninger, som en adgangskodeadministrator eller browserens autoudfyldfunktion automatisk indtaster.<\/p>\n\n\n\n

OWAReaper leder efter Outlook-tilf\u00f8jelser med ReadWriteMailbox<\/code>-rettigheder. N\u00e5r den finder en egnet tilf\u00f8jelse, misbruger den den adgang til at stj\u00e6le OAuth-tokens.<\/p>\n\n\n\n

Postkassetilladelser skaber server-side persistens<\/h3>\n\n\n\n

Bagd\u00f8ren kan tildele ejer-rettigheder til Exchange Default-brugeren p\u00e5 tv\u00e6rs af alle mappemapper. Denne konfiguration kan give en angriber adgang til den kompromitterede postkasse gennem en anden autentificeret konto inde i organisationen.<\/p>\n\n\n\n

Fordi Exchange gemmer disse tilladelser p\u00e5 serveren, er det ikke n\u00f8dvendigvis nok at geninstallere offerets computer for at fjerne angriberen. \u00c6ndring af brugerens adgangskode kan heller ikke blokere adgangen, hvis de ondsindede postkassetilladelser og de stj\u00e5lne OAuth-tokens forbliver aktive.<\/p>\n\n\n\n

OWAReaper opretter en anden persistensmekanisme via Outlook Web Access-offlinecachen. Den aktiverer OWA-caching og injicerer en ondsindet iframe i meddelelser, der er gemt i browserens IndexedDB-database.<\/p>\n\n\n\n

Iframen udf\u00f8res, hver gang offeret \u00e5bner en inficeret meddelelse fra offlinecachen. Denne metode fungerer uafh\u00e6ngigt af postkassetilladelserne p\u00e5 serversiden.<\/p>\n\n\n\n

Kommandoer gemt i GitHub og e-mail-beskeder<\/h3>\n\n\n\n

OWAReaper underst\u00f8tter to kommando-og-kontrol-metoder.<\/p>\n\n\n\n

Den f\u00f8rste metode anvender krypterede kommandoer gemt i GitHub commit-beskeder. Den anden er afh\u00e6ngig af specielt formaterede e-mails, der sendes direkte til den kompromitterede postkasse.<\/p>\n\n\n\n

Til datatyveri sender malwaren prim\u00e6rt krypteret information over HTTPS via dom\u00e6ner til levering af billedindhold. Den krypterer data, der placeres i request-stier, med AES-CTR.<\/p>\n\n\n\n

En sekund\u00e6r kanal sender stj\u00e5lne oplysninger direkte til en angriberstyret server, n\u00e5r den prim\u00e6re metode fejler.<\/p>\n\n\n\n

Organisationer b\u00f8r gennemg\u00e5 Exchange-tilladelser<\/h3>\n\n\n\n

Proofpoint har offentliggjort et begr\u00e6nset antal kompromitteringsindikatorer, herunder ondsindede dom\u00e6ner og HTML, der indeholder udnyttelsen og nyttelasten.<\/p>\n\n\n\n

Organisationer b\u00f8r installere Microsofts sikkerhedsopdatering til CVE-2026-42897 og inspicere deres Exchange-milj\u00f8er for tegn p\u00e5 kompromittering. Administratorer b\u00f8r gennemg\u00e5:<\/p>\n\n\n\n