{"id":283,"date":"2026-07-30T10:18:29","date_gmt":"2026-07-30T10:18:29","guid":{"rendered":"https:\/\/windowsreport.com\/dk\/owareaper-backdoor-malretter-sig-mod-microsoft-exchange-brugere\/"},"modified":"2026-07-30T10:18:29","modified_gmt":"2026-07-30T10:18:29","slug":"owareaper-backdoor-malretter-sig-mod-microsoft-exchange-brugere","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/dk\/owareaper-backdoor-malretter-sig-mod-microsoft-exchange-brugere\/","title":{"rendered":"OWAReaper Backdoor m\u00e5lretter sig mod Microsoft Exchange-brugere"},"content":{"rendered":"\n

Russiske statssponsorerede hackere udnytter en s\u00e5rbarhed i Microsoft Exchange Outlook Web Access til at implementere OWAReaper, en webmail-bagd\u00f8r designet til langsigtet adgang til postkasser.<\/p>\n\n\n\n

Gruppen, kendt som Laundry Bear og Void Blizzard, spores af Proofpoint<\/a> som TA488. Dens m\u00e5l omfatter regeringsorganisationer i USA og Europa samt virksomheder inden for telekommunikation, finans, g\u00e6stfrihed og luftfart.<\/p>\n\n\n\n

Angreb udnytter CVE-2026-42897<\/h2>\n\n\n\n

Kampagnen udnytter CVE-2026-42897<\/a>, en cross-site scripting-s\u00e5rbarhed i Outlook Web Access.<\/p>\n\n\n\n

Fejlen tillader ondsindet JavaScript at blive udf\u00f8rt, n\u00e5r en bruger \u00e5bner en specielt udformet e-mail i OWA-l\u00e6seruden. Angrebet kr\u00e6ver ingen ondsindet vedh\u00e6ftet fil, intet link og intet yderligere klik.<\/p>\n\n\n\n

Microsoft offentliggjorde s\u00e5rbarheden den 14. maj. Tilg\u00e6ngelige beviser indikerer dog, at Laundry Bear allerede havde udnyttet den som et zero-day-angreb inden offentligg\u00f8relsen.<\/p>\n\n\n\n

Angriberne f\u00e5r bevidst e-mailene til at se uvigtige ud. En modtager kan \u00e5bne beskeden, afvise den som junk og undlade at rapportere den, fordi den ikke indeholder \u00e5benlyst ondsindede links eller vedh\u00e6ftede filer.<\/p>\n\n\n\n

Beskederne skjuler JavaScript-indl\u00e6sere og Base64-kodede payloads inde i sociale medie-ikon-URL’er. De ondsindede data vises efter tegnet #<\/code>, hvilket g\u00f8r e-mailen sv\u00e6rere at identificere som et angreb.<\/p>\n\n\n\n

OWAReaper fjerner beviser og indsamler legitimationsoplysninger<\/h3>\n\n\n\n

OWAReaper fungerer udelukkende inden for Outlook Web Access-l\u00e6seruden. N\u00e5r den udf\u00f8res, omskriver bagd\u00f8ren den oprindelige e-mail p\u00e5 Exchange-serveren og fjerner beviser for udnyttelsen.<\/p>\n\n\n\n

Derefter indsamler den oplysninger om offeret, herunder e-mailadresse, brugernavn og Outlook-konfigurationsdetaljer.<\/p>\n\n\n\n

Malwaren opretter ogs\u00e5 usynlige browserelementer, der fors\u00f8ger at opfange legitimationsoplysninger, der automatisk indtastes af en adgangskodeadministrator eller browserens autofyld-funktion.<\/p>\n\n\n\n

OWAReaper s\u00f8ger efter Outlook-tilf\u00f8jelsesprogrammer med ReadWriteMailbox<\/code>-tilladelser. N\u00e5r den finder et passende tilf\u00f8jelsesprogram, misbruger den denne adgang til at stj\u00e6le OAuth-tokens.<\/p>\n\n\n\n

Postkassetilladelser skaber serverside-vedholdenhed<\/h3>\n\n\n\n

Bagd\u00f8ren kan tildele Owner-level postkassetilladelser til Exchange Default-brugeren p\u00e5 tv\u00e6rs af alle mailmapper. Denne konfiguration kan give en angriber adgang til den kompromitterede postkasse via en anden autentificeret konto i organisationen.<\/p>\n\n\n\n

Da Exchange gemmer disse tilladelser p\u00e5 serveren, fjerner en geninstallation af offerets computer muligvis ikke angriberen. \u00c6ndring af brugerens adgangskode kan ogs\u00e5 mislykkes med at blokere adgang, hvis de ondsindede postkassetilladelser og stj\u00e5lne OAuth-tokens forbliver aktive.<\/p>\n\n\n\n

OWAReaper skaber en anden vedholdenhedsmekanisme via Outlook Web Access-offlinecachen. Den aktiverer OWA-caching og indspr\u00f8jter en ondsindet iframe i beskeder, der er gemt i browserens IndexedDB-database.<\/p>\n\n\n\n

Iframe’en udf\u00f8res, n\u00e5r offeret \u00e5bner en forgiftet besked fra offlinecachen. Denne metode fungerer uafh\u00e6ngigt af serverside-postkassetilladelserne.<\/p>\n\n\n\n

Kommandoer skjult i GitHub- og e-mail-beskeder<\/h3>\n\n\n\n

OWAReaper underst\u00f8tter to kommando-og-kontrol-metoder.<\/p>\n\n\n\n

Den f\u00f8rste metode bruger krypterede kommandoer gemt i GitHub-commit-beskeder. Den anden er afh\u00e6ngig af specielt formaterede e-mails sendt direkte til den kompromitterede postkasse.<\/p>\n\n\n\n

Til datatyveri sender malwaren prim\u00e6rt krypteret information over HTTPS via billed-content delivery network-dom\u00e6ner. Den krypterer data placeret i request-stier med AES-CTR.<\/p>\n\n\n\n

En sekund\u00e6r kanal sender stj\u00e5lne oplysninger direkte til en angriberstyret server, n\u00e5r den prim\u00e6re metode fejler.<\/p>\n\n\n\n

Organisationer b\u00f8r gennemg\u00e5 Exchange-tilladelser<\/h3>\n\n\n\n

Proofpoint har offentliggjort et begr\u00e6nset antal indikatorer for kompromittering, herunder ondsindede dom\u00e6ner og HTML, der indeholder udnyttelsen og payload.<\/p>\n\n\n\n

Organisationer b\u00f8r installere Microsofts sikkerhedsopdatering til CVE-2026-42897 og inspicere deres Exchange-milj\u00f8er for tegn p\u00e5 kompromittering. Administratorer b\u00f8r gennemg\u00e5:<\/p>\n\n\n\n