{"id":17394,"date":"2026-07-30T10:03:20","date_gmt":"2026-07-30T10:03:20","guid":{"rendered":"https:\/\/windowsreport.com\/es\/owareaper-backdoor-apunta-a-usuarios-de-microsoft-exchange\/"},"modified":"2026-07-30T10:03:20","modified_gmt":"2026-07-30T10:03:20","slug":"owareaper-backdoor-apunta-a-usuarios-de-microsoft-exchange","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/es\/owareaper-backdoor-apunta-a-usuarios-de-microsoft-exchange\/","title":{"rendered":"OWAReaper Backdoor apunta a usuarios de Microsoft Exchange"},"content":{"rendered":"\n

Piratas inform\u00e1ticos patrocinados por el estado ruso est\u00e1n explotando una vulnerabilidad de Outlook Web Access de Microsoft Exchange para desplegar OWAReaper, una puerta trasera de correo web dise\u00f1ada para el acceso prolongado a buzones.<\/p>\n\n\n\n

El grupo, conocido como Laundry Bear y Void Blizzard, es rastreado por Proofpoint<\/a> como TA488. Sus objetivos incluyen organizaciones gubernamentales de Estados Unidos y Europa, adem\u00e1s de empresas de telecomunicaciones, finanzas, hosteler\u00eda y aeroespaciales.<\/p>\n\n\n\n

Ataque explota CVE-2026-42897<\/h2>\n\n\n\n

La campa\u00f1a explota CVE-2026-42897<\/a>, una vulnerabilidad de cross-site scripting en Outlook Web Access.<\/p>\n\n\n\n

La falla permite que se ejecute JavaScript malicioso cuando un usuario abre un correo especialmente dise\u00f1ado en el panel de lectura de OWA. El ataque no requiere ning\u00fan archivo adjunto, enlace ni clic adicional malicioso.<\/p>\n\n\n\n

Microsoft revel\u00f3 la vulnerabilidad el 14 de mayo. Sin embargo, la evidencia disponible indica que Laundry Bear ya la hab\u00eda explotado como un d\u00eda cero antes de la divulgaci\u00f3n.<\/p>\n\n\n\n

Los atacantes hacen que los correos parezcan poco importantes deliberadamente. Un destinatario puede abrir el mensaje, descartarlo como basura y evitar denunciarlo porque no contiene enlaces o archivos adjuntos maliciosos obvios.<\/p>\n\n\n\n

Los mensajes ocultan cargadores de JavaScript y cargas \u00fatiles codificadas en Base64 dentro de las URL de iconos de redes sociales. Los datos maliciosos aparecen despu\u00e9s del car\u00e1cter #<\/code>, lo que dificulta identificar el correo como un ataque.<\/p>\n\n\n\n

OWAReaper elimina evidencias y recopila credenciales<\/h3>\n\n\n\n

OWAReaper opera completamente dentro del panel de lectura de Outlook Web Access. Una vez ejecutada, la puerta trasera reescribe el correo original en el servidor Exchange y elimina las evidencias del exploit.<\/p>\n\n\n\n

A continuaci\u00f3n, recopila informaci\u00f3n sobre la v\u00edctima, incluyendo la direcci\u00f3n de correo electr\u00f3nico, el nombre de usuario y los detalles de configuraci\u00f3n de Outlook.<\/p>\n\n\n\n

El malware tambi\u00e9n crea elementos del navegador invisibles que intentan capturar credenciales introducidas autom\u00e1ticamente por un gestor de contrase\u00f1as o la funci\u00f3n de autocompletar del navegador.<\/p>\n\n\n\n

OWAReaper busca complementos de Outlook con permisos ReadWriteMailbox<\/code>. Cuando encuentra uno adecuado, abusa de ese acceso para robar tokens OAuth.<\/p>\n\n\n\n

Permisos de buz\u00f3n crean persistencia del lado del servidor<\/h3>\n\n\n\n

La puerta trasera puede conceder permisos de buz\u00f3n de nivel Propietario al usuario Default de Exchange en todas las carpetas de correo. Esta configuraci\u00f3n podr\u00eda permitir a un atacante acceder al buz\u00f3n comprometido a trav\u00e9s de otra cuenta autenticada dentro de la organizaci\u00f3n.<\/p>\n\n\n\n

Dado que Exchange almacena estos permisos en el servidor, reinstalar el equipo de la v\u00edctima puede no eliminar al atacante. Cambiar la contrase\u00f1a del usuario tambi\u00e9n podr\u00eda no bloquear el acceso si los permisos maliciosos del buz\u00f3n y los tokens OAuth robados permanecen activos.<\/p>\n\n\n\n

OWAReaper crea otro mecanismo de persistencia a trav\u00e9s de la cach\u00e9 sin conexi\u00f3n de Outlook Web Access. Habilita el almacenamiento en cach\u00e9 de OWA e inyecta un iframe malicioso en los mensajes almacenados en la base de datos IndexedDB del navegador.<\/p>\n\n\n\n

El iframe se ejecuta cada vez que la v\u00edctima abre un mensaje envenenado desde la cach\u00e9 sin conexi\u00f3n. Este m\u00e9todo funciona de forma independiente a los permisos de buz\u00f3n del lado del servidor.<\/p>\n\n\n\n

Comandos ocultos en GitHub y mensajes de correo electr\u00f3nico<\/h3>\n\n\n\n

OWAReaper admite dos m\u00e9todos de comando y control.<\/p>\n\n\n\n

El primer m\u00e9todo utiliza comandos cifrados ocultos dentro de mensajes de commit de GitHub. El segundo se basa en correos electr\u00f3nicos con formato especial enviados directamente al buz\u00f3n comprometido.<\/p>\n\n\n\n

Para la exfiltraci\u00f3n de datos, el malware env\u00eda principalmente informaci\u00f3n cifrada a trav\u00e9s de HTTPS utilizando dominios de redes de entrega de contenido de im\u00e1genes. Cifra los datos colocados en las rutas de solicitud con AES-CTR.<\/p>\n\n\n\n

Un canal secundario env\u00eda la informaci\u00f3n robada directamente a un servidor controlado por el atacante cuando falla el m\u00e9todo principal.<\/p>\n\n\n\n

Las organizaciones deben revisar los permisos de Exchange<\/h3>\n\n\n\n

Proofpoint public\u00f3 un n\u00famero limitado de indicadores de compromiso, incluyendo dominios maliciosos y HTML que contiene el exploit y la carga \u00fatil.<\/p>\n\n\n\n

Las organizaciones deben instalar la actualizaci\u00f3n de seguridad de Microsoft para CVE-2026-42897 e inspeccionar sus entornos de Exchange en busca de se\u00f1ales de compromiso. Los administradores deben revisar:<\/p>\n\n\n\n