{"id":281,"date":"2026-07-30T10:18:03","date_gmt":"2026-07-30T10:18:03","guid":{"rendered":"https:\/\/windowsreport.com\/dk\/owareaper-backdoor-retter-sig-mod-microsoft-exchange-brugere-3\/"},"modified":"2026-07-30T10:18:03","modified_gmt":"2026-07-30T10:18:03","slug":"owareaper-backdoor-retter-sig-mod-microsoft-exchange-brugere-3","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/dk\/owareaper-backdoor-retter-sig-mod-microsoft-exchange-brugere-3\/","title":{"rendered":"OWAReaper Backdoor retter sig mod Microsoft Exchange-brugere"},"content":{"rendered":"\n

Russiske statssponsorerede hackere udnytter en s\u00e5rbarhed i Microsoft Exchange Outlook Web Access til at installere OWAReaper, en webmail-bagd\u00f8r designet til langvarig postkasseadgang.<\/p>\n\n\n\n

Gruppen, kendt som Laundry Bear og Void Blizzard, spores af Proofpoint<\/a> som TA488. Dens m\u00e5l omfatter statslige organisationer i USA og Europa samt telekommunikations-, finans-, hospitality- og luftfartsvirksomheder.<\/p>\n\n\n\n

Angrebet udnytter CVE-2026-42897<\/h2>\n\n\n\n

Kampagnen udnytter CVE-2026-42897<\/a>, en cross-site scripting-s\u00e5rbarhed i Outlook Web Access.<\/p>\n\n\n\n

S\u00e5rbarheden tillader, at ondsindet JavaScript afvikles, n\u00e5r en bruger \u00e5bner en specielt udformet e-mail i l\u00e6seruden i OWA. Angrebet kr\u00e6ver ingen ondsindet vedh\u00e6ftet fil, intet link og intet ekstra klik.<\/p>\n\n\n\n

Microsoft offentliggjorde s\u00e5rbarheden den 14. maj. Tilg\u00e6ngelige beviser tyder dog p\u00e5, at Laundry Bear allerede havde udnyttet den som et zero-day-angreb inden offentligg\u00f8relsen.<\/p>\n\n\n\n

Angriberne f\u00e5r bevidst e-mailsene til at se ligegyldige ud. En modtager kan \u00e5bne meddelelsen, afvise den som junk og undlade at rapportere den, fordi den ikke indeholder nogen \u00e5benlyse ondsindede links eller vedh\u00e6ftede filer.<\/p>\n\n\n\n

Meddelelserne skjuler JavaScript-indl\u00e6sere og Base64-kodede nyttelaster i URL’er til sociale medie-ikoner. De ondsindede data vises efter tegnet #<\/code>, hvilket g\u00f8r e-mailen sv\u00e6rere at identificere som et angreb.<\/p>\n\n\n\n

OWAReaper fjerner beviser og indsamler legitimationsoplysninger<\/h3>\n\n\n\n

OWAReaper opererer udelukkende i l\u00e6seruden i Outlook Web Access. N\u00e5r den afvikles, omskriver bagd\u00f8ren den oprindelige e-mail p\u00e5 Exchange-serveren og fjerner beviser for udnyttelsen.<\/p>\n\n\n\n

Derefter indsamler den oplysninger om offeret, herunder e-mailadresse, brugernavn og detaljer om Outlook-konfigurationen.<\/p>\n\n\n\n

Malwaren opretter ogs\u00e5 usynlige browserelementer, der fors\u00f8ger at opfange legitimationsoplysninger, som automatisk indtastes af en adgangskodeadministrator eller browserens autofyld-funktion.<\/p>\n\n\n\n

OWAReaper s\u00f8ger efter Outlook-tilf\u00f8jelsesprogrammer med ReadWriteMailbox<\/code>-rettigheder. N\u00e5r den finder et egnet tilf\u00f8jelsesprogram, misbruger den den adgang til at stj\u00e6le OAuth-tokens.<\/p>\n\n\n\n

Postkassetilladelser skaber serverside-persistens<\/h3>\n\n\n\n

Bagd\u00f8ren kan tildele ejer-rettigheder til postkassen til Exchange Default-brugeren p\u00e5 tv\u00e6rs af alle mailmapper. Denne konfiguration kan g\u00f8re det muligt for en angriber at f\u00e5 adgang til den kompromitterede postkasse via en anden godkendt konto i organisationen.<\/p>\n\n\n\n

Da Exchange gemmer disse rettigheder p\u00e5 serveren, kan geninstallation af offerets computer muligvis ikke fjerne angriberen. \u00c6ndring af brugerens adgangskode kan heller ikke blokere adgangen, hvis de ondsindede postkassetilladelser og stj\u00e5lne OAuth-tokens forbliver aktive.<\/p>\n\n\n\n

OWAReaper skaber en anden persistensmekanisme via offline-cachen i Outlook Web Access. Den aktiverer OWA-caching og indspr\u00f8jter en ondsindet iframe i meddelelser, der er gemt i browserens IndexedDB-database.<\/p>\n\n\n\n

Iframen afvikles, hver gang offeret \u00e5bner en inficeret meddelelse fra offline-cachen. Denne metode fungerer separat fra serverside-postkassetilladelserne.<\/p>\n\n\n\n

Kommandoer gemt i GitHub og e-mail-meddelelser<\/h3>\n\n\n\n

OWAReaper underst\u00f8tter to metoder til kommando og kontrol.<\/p>\n\n\n\n

Den f\u00f8rste metode bruger krypterede kommandoer gemt i GitHub commit-meddelelser. Den anden er afh\u00e6ngig af specielt udformede e-mails sendt direkte til den kompromitterede postkasse.<\/p>\n\n\n\n

Ved datatyveri sender malwaren prim\u00e6rt krypterede oplysninger over HTTPS via dom\u00e6ner, der tilh\u00f8rer indholdsleveringsnetv\u00e6rk til billeder. Den krypterer data placeret i anmodningsstier med AES-CTR.<\/p>\n\n\n\n

En sekund\u00e6r kanal sender stj\u00e5lne oplysninger direkte til en angriberstyret server, n\u00e5r den prim\u00e6re metode fejler.<\/p>\n\n\n\n

Organisationer b\u00f8r gennemg\u00e5 Exchange-tilladelser<\/h3>\n\n\n\n

Proofpoint har offentliggjort et begr\u00e6nset antal indikatorer for kompromittering, herunder ondsindede dom\u00e6ner og HTML, der indeholder udnyttelsen og nyttelasten.<\/p>\n\n\n\n

Organisationer b\u00f8r installere Microsofts sikkerhedsopdatering for CVE-2026-42897 og unders\u00f8ge deres Exchange-milj\u00f8er for tegn p\u00e5 kompromittering. Administratorer b\u00f8r gennemg\u00e5:<\/p>\n\n\n\n