{"id":279,"date":"2026-07-30T10:09:58","date_gmt":"2026-07-30T10:09:58","guid":{"rendered":"https:\/\/windowsreport.com\/dk\/owareaper-bagdor-rammer-microsoft-exchange-brugere\/"},"modified":"2026-07-30T10:09:58","modified_gmt":"2026-07-30T10:09:58","slug":"owareaper-bagdor-rammer-microsoft-exchange-brugere","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/dk\/owareaper-bagdor-rammer-microsoft-exchange-brugere\/","title":{"rendered":"OWAReaper-bagd\u00f8r rammer Microsoft Exchange-brugere"},"content":{"rendered":"\n

Russiske statssponsorerede hackere udnytter en s\u00e5rbarhed i Microsoft Exchange Outlook Web Access til at implementere OWAReaper, en webmail-bagd\u00f8r designet til langsigtet adgang til postkasser.<\/p>\n\n\n\n

Gruppen, der kendes som Laundry Bear og Void Blizzard, spores af Proofpoint<\/a> som TA488. Dens m\u00e5l omfatter offentlige organisationer i USA og Europa samt telekommunikations-, finans-, hotel- og rumfartsvirksomheder.<\/p>\n\n\n\n

Angrebet udnytter CVE-2026-42897<\/h2>\n\n\n\n

Kampagnen udnytter CVE-2026-42897<\/a>, en cross-site scripting-s\u00e5rbarhed i Outlook Web Access.<\/p>\n\n\n\n

Fejlen g\u00f8r det muligt for ondsindet JavaScript at k\u00f8re, n\u00e5r en bruger \u00e5bner en specielt udformet e-mail i l\u00e6seruden i OWA. Angrebet kr\u00e6ver ingen ondsindet vedh\u00e6ftning, intet link og intet yderligere klik.<\/p>\n\n\n\n

Microsoft offentliggjorde s\u00e5rbarheden den 14. maj. Tilg\u00e6ngelige beviser tyder dog p\u00e5, at Laundry Bear allerede havde udnyttet den som en zero-day f\u00f8r offentligg\u00f8relsen.<\/p>\n\n\n\n

Angriberne f\u00e5r bevidst e-mailene til at se ubetydelige ud. En modtager kan \u00e5bne meddelelsen, afvise den som spam og undlade at rapportere den, fordi den ikke indeholder \u00e5benlyse ondsindede links eller vedh\u00e6ftede filer.<\/p>\n\n\n\n

Meddelelserne skjuler JavaScript-indl\u00e6sere og Base64-kodede nyttelaster i URL’er til sociale medie-ikoner. De ondsindede data vises efter #<\/code>-tegnet, hvilket g\u00f8r e-mailen sv\u00e6rere at identificere som et angreb.<\/p>\n\n\n\n

OWAReaper fjerner spor og indsamler legitimationsoplysninger<\/h3>\n\n\n\n

OWAReaper fungerer udelukkende i l\u00e6seruden i Outlook Web Access. N\u00e5r bagd\u00f8ren udf\u00f8res, omskriver den den oprindelige e-mail p\u00e5 Exchange-serveren og fjerner sporene efter angrebet.<\/p>\n\n\n\n

Derefter indsamler den oplysninger om offeret, herunder e-mailadresse, brugernavn og Outlook-konfigurationsdetaljer.<\/p>\n\n\n\n

Malwaren opretter ogs\u00e5 usynlige browserelementer, der fors\u00f8ger at fange legitimationsoplysninger, som automatisk indtastes af en adgangskodeadministrator eller browserens autofyldfunktion.<\/p>\n\n\n\n

OWAReaper s\u00f8ger efter Outlook-tilf\u00f8jelsesprogrammer med ReadWriteMailbox<\/code>-tilladelser. N\u00e5r den finder et passende tilf\u00f8jelsesprogram, misbruger den adgangen til at stj\u00e6le OAuth-tokens.<\/p>\n\n\n\n

Postkassetilladelser skaber persistens p\u00e5 serversiden<\/h3>\n\n\n\n

Bagd\u00f8ren kan tildele postkassetilladelser p\u00e5 ejerniveau til Exchange Standard-brugeren p\u00e5 tv\u00e6rs af alle mailmapper. Denne konfiguration kan g\u00f8re det muligt for en angriber at f\u00e5 adgang til den kompromitterede postkasse via en anden godkendt konto i organisationen.<\/p>\n\n\n\n

Da Exchange gemmer disse tilladelser p\u00e5 serveren, kan en geninstallation af offerets computer muligvis ikke fjerne angriberen. \u00c6ndring af brugerens adgangskode kan ogs\u00e5 sl\u00e5 fejl, hvis de ondsindede postkassetilladelser og stj\u00e5lne OAuth-tokens forbliver aktive.<\/p>\n\n\n\n

OWAReaper skaber en anden persistensmekanisme via offlinecachen i Outlook Web Access. Den aktiverer OWA-cachelagring og indspr\u00f8jter en ondsindet iframe i meddelelser, der er gemt i browserens IndexedDB-database.<\/p>\n\n\n\n

Denne iframe udf\u00f8res, hver gang offeret \u00e5bner en inficeret meddelelse fra offlinecachen. Denne metode fungerer uafh\u00e6ngigt af postkassetilladelserne p\u00e5 serversiden.<\/p>\n\n\n\n

Kommandoer skjult i GitHub og e-mail-meddelelser<\/h3>\n\n\n\n

OWAReaper underst\u00f8tter to kommando- og kontrolmetoder.<\/p>\n\n\n\n

Den f\u00f8rste metode bruger krypterede kommandoer gemt i GitHub commit-beskeder. Den anden er afh\u00e6ngig af specielt formaterede e-mails sendt direkte til den kompromitterede postkasse.<\/p>\n\n\n\n

Ved datatyveri sender malwaren prim\u00e6rt krypterede oplysninger over HTTPS via billedindholdsleveringsnetv\u00e6rksdom\u00e6ner. Den krypterer de data, der placeres i anmodningsstierne, med AES-CTR.<\/p>\n\n\n\n

En sekund\u00e6r kanal sender stj\u00e5lne oplysninger direkte til en angriberkontrolleret server, hvis den prim\u00e6re metode fejler.<\/p>\n\n\n\n

Organisationer b\u00f8r gennemg\u00e5 Exchange-tilladelser<\/h3>\n\n\n\n

Proofpoint har offentliggjort et begr\u00e6nset antal indikatorer for kompromittering, herunder ondsindede dom\u00e6ner og HTML, der indeholder exploit\u2019en og nyttelasten.<\/p>\n\n\n\n

Organisationer b\u00f8r installere Microsofts sikkerhedsopdatering til CVE-2026-42897 og unders\u00f8ge deres Exchange-milj\u00f8er for tegn p\u00e5 kompromittering. Administratorer b\u00f8r gennemg\u00e5:<\/p>\n\n\n\n