{"id":17392,"date":"2026-07-30T10:03:18","date_gmt":"2026-07-30T10:03:18","guid":{"rendered":"https:\/\/windowsreport.com\/es\/owareaper-backdoor-apunta-a-los-usuarios-de-microsoft-exchange\/"},"modified":"2026-07-30T10:03:18","modified_gmt":"2026-07-30T10:03:18","slug":"owareaper-backdoor-apunta-a-los-usuarios-de-microsoft-exchange","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/es\/owareaper-backdoor-apunta-a-los-usuarios-de-microsoft-exchange\/","title":{"rendered":"OWAReaper Backdoor apunta a los usuarios de Microsoft Exchange"},"content":{"rendered":"\n

Hackers patrocinados por el estado ruso est\u00e1n explotando una vulnerabilidad de Microsoft Exchange Outlook Web Access para desplegar OWAReaper, una puerta trasera de correo web dise\u00f1ada para el acceso a largo plazo a buzones.<\/p>\n\n\n\n

El grupo, conocido como Laundry Bear y Void Blizzard, es rastreado por Proofpoint<\/a> como TA488. Sus objetivos incluyen organizaciones gubernamentales en Estados Unidos y Europa, as\u00ed como empresas de telecomunicaciones, finanzas, hosteler\u00eda y aeroespaciales.<\/p>\n\n\n\n

El ataque explota CVE-2026-42897<\/h2>\n\n\n\n

La campa\u00f1a explota CVE-2026-42897<\/a>, una vulnerabilidad de cross-site scripting en Outlook Web Access.<\/p>\n\n\n\n

La falla permite que se ejecute JavaScript malicioso cuando un usuario abre un correo electr\u00f3nico especialmente dise\u00f1ado en el panel de lectura de OWA. El ataque no requiere ning\u00fan archivo adjunto, enlace ni clic adicional malicioso.<\/p>\n\n\n\n

Microsoft revel\u00f3 la vulnerabilidad el 14 de mayo. Sin embargo, la evidencia disponible indica que Laundry Bear ya la hab\u00eda explotado como un d\u00eda cero antes de la divulgaci\u00f3n.<\/p>\n\n\n\n

Los atacantes hacen que los correos electr\u00f3nicos parezcan poco importantes deliberadamente. Un destinatario puede abrir el mensaje, descartarlo como spam y evitar reportarlo porque no contiene enlaces ni archivos adjuntos maliciosos evidentes.<\/p>\n\n\n\n

Los mensajes ocultan cargadores de JavaScript y cargas \u00fatiles codificadas en Base64 dentro de las URL de iconos de redes sociales. Los datos maliciosos aparecen despu\u00e9s del car\u00e1cter #, lo que dificulta identificar el correo como un ataque.<\/p>\n\n\n\n

OWAReaper elimina pruebas y recopila credenciales<\/h3>\n\n\n\n

OWAReaper opera completamente dentro del panel de lectura de Outlook Web Access. Una vez ejecutado, la puerta trasera reescribe el correo electr\u00f3nico original en el servidor Exchange y elimina las pruebas del exploit.<\/p>\n\n\n\n

Luego recopila informaci\u00f3n sobre la v\u00edctima, incluyendo la direcci\u00f3n de correo electr\u00f3nico, el nombre de usuario y los detalles de configuraci\u00f3n de Outlook.<\/p>\n\n\n\n

El malware tambi\u00e9n crea elementos de navegador invisibles que intentan capturar credenciales introducidas autom\u00e1ticamente por un gestor de contrase\u00f1as o la funci\u00f3n de autocompletar del navegador.<\/p>\n\n\n\n

OWAReaper busca complementos de Outlook con permisos ReadWriteMailbox. Cuando encuentra un complemento adecuado, abusa de ese acceso para robar tokens OAuth.<\/p>\n\n\n\n

Los permisos de buz\u00f3n crean persistencia en el lado del servidor<\/h3>\n\n\n\n

La puerta trasera puede otorgar permisos de buz\u00f3n de nivel propietario al usuario predeterminado de Exchange en todas las carpetas de correo. Esta configuraci\u00f3n puede permitir que un atacante acceda al buz\u00f3n comprometido a trav\u00e9s de otra cuenta autenticada dentro de la organizaci\u00f3n.<\/p>\n\n\n\n

Debido a que Exchange almacena estos permisos en el servidor, reinstalar el ordenador de la v\u00edctima puede no eliminar al atacante. Cambiar la contrase\u00f1a del usuario tambi\u00e9n puede no bloquear el acceso si los permisos maliciosos del buz\u00f3n y los tokens OAuth robados permanecen activos.<\/p>\n\n\n\n

OWAReaper crea otro mecanismo de persistencia a trav\u00e9s de la cach\u00e9 sin conexi\u00f3n de Outlook Web Access. Habilita el almacenamiento en cach\u00e9 de OWA e inyecta un iframe malicioso en los mensajes almacenados en la base de datos IndexedDB del navegador.<\/p>\n\n\n\n

El iframe se ejecuta cada vez que la v\u00edctima abre un mensaje envenenado desde la cach\u00e9 sin conexi\u00f3n. Este m\u00e9todo opera por separado de los permisos de buz\u00f3n del lado del servidor.<\/p>\n\n\n\n

Comandos ocultos en GitHub y mensajes de correo electr\u00f3nico<\/h3>\n\n\n\n

OWAReaper admite dos m\u00e9todos de comando y control.<\/p>\n\n\n\n

El primer m\u00e9todo utiliza comandos cifrados ocultos dentro de los mensajes de confirmaci\u00f3n de GitHub. El segundo se basa en correos electr\u00f3nicos con formato especial enviados directamente al buz\u00f3n comprometido.<\/p>\n\n\n\n

Para el robo de datos, el malware env\u00eda principalmente informaci\u00f3n cifrada a trav\u00e9s de HTTPS mediante dominios de redes de entrega de contenido de im\u00e1genes. Cifra los datos colocados dentro de las rutas de solicitud con AES-CTR.<\/p>\n\n\n\n

Un canal secundario env\u00eda la informaci\u00f3n robada directamente a un servidor controlado por el atacante cuando el m\u00e9todo principal falla.<\/p>\n\n\n\n

Las organizaciones deben revisar los permisos de Exchange<\/h3>\n\n\n\n

Proofpoint public\u00f3 un n\u00famero limitado de indicadores de compromiso, incluyendo dominios maliciosos y HTML que contiene el exploit y la carga \u00fatil.<\/p>\n\n\n\n

Deber\u00edas instalar la actualizaci\u00f3n de seguridad de Microsoft para CVE-2026-42897 e inspeccionar tu entorno Exchange en busca de indicios de compromiso. Deber\u00edas revisar:<\/p>\n\n\n\n