{"id":17396,"date":"2026-07-30T10:11:54","date_gmt":"2026-07-30T10:11:54","guid":{"rendered":"https:\/\/windowsreport.com\/es\/el-backdoor-owareaper-apunta-a-los-usuarios-de-microsoft-exchange\/"},"modified":"2026-07-30T10:11:54","modified_gmt":"2026-07-30T10:11:54","slug":"el-backdoor-owareaper-apunta-a-los-usuarios-de-microsoft-exchange","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/es\/el-backdoor-owareaper-apunta-a-los-usuarios-de-microsoft-exchange\/","title":{"rendered":"El backdoor OWAReaper apunta a los usuarios de Microsoft Exchange"},"content":{"rendered":"\n

Hackers patrocinados por el estado ruso est\u00e1n explotando una vulnerabilidad de Outlook Web Access de Microsoft Exchange para desplegar OWAReaper, una puerta trasera de correo web dise\u00f1ada para el acceso prolongado al buz\u00f3n.<\/p>\n\n\n\n

El grupo, conocido como Laundry Bear y Void Blizzard, es rastreado por Proofpoint<\/a> como TA488. Sus objetivos incluyen organizaciones gubernamentales de Estados Unidos y Europa, as\u00ed como empresas de telecomunicaciones, finanzas, hosteler\u00eda y aeroespaciales.<\/p>\n\n\n\n

El ataque explota CVE-2026-42897<\/h2>\n\n\n\n

La campa\u00f1a explota CVE-2026-42897<\/a>, una vulnerabilidad de cross\u2011site scripting en Outlook Web Access.<\/p>\n\n\n\n

La falla permite que se ejecute JavaScript malicioso cuando un usuario abre un correo electr\u00f3nico especialmente dise\u00f1ado en el panel de lectura de OWA. El ataque no requiere archivos adjuntos, enlaces ni clics adicionales.<\/p>\n\n\n\n

Microsoft revel\u00f3 la vulnerabilidad el 14 de mayo. Sin embargo, las pruebas disponibles indican que Laundry Bear ya la hab\u00eda explotado como vulnerabilidad de d\u00eda cero antes de la divulgaci\u00f3n.<\/p>\n\n\n\n

Los atacantes hacen que los correos parezcan poco importantes deliberadamente. El destinatario puede abrir el mensaje, descartarlo como basura y evitar reportarlo porque no contiene enlaces ni archivos adjuntos maliciosos obvios.<\/p>\n\n\n\n

Los mensajes ocultan cargadores de JavaScript y cargas \u00fatiles codificadas en Base64 dentro de las URL de los iconos de redes sociales. Los datos maliciosos aparecen despu\u00e9s del car\u00e1cter #<\/code>, lo que dificulta identificar el correo como un ataque.<\/p>\n\n\n\n

OWAReaper elimina pruebas y recopila credenciales<\/h3>\n\n\n\n

OWAReaper funciona completamente dentro del panel de lectura de Outlook Web Access. Una vez que se ejecuta, la puerta trasera reescribe el correo original en el servidor Exchange y elimina las pruebas del exploit.<\/p>\n\n\n\n

Luego recopila informaci\u00f3n sobre la v\u00edctima, incluida la direcci\u00f3n de correo electr\u00f3nico, el nombre de usuario y los detalles de configuraci\u00f3n de Outlook.<\/p>\n\n\n\n

El malware tambi\u00e9n crea elementos invisibles en el navegador que intentan capturar las credenciales introducidas autom\u00e1ticamente por un gestor de contrase\u00f1as o la funci\u00f3n de autocompletar del navegador.<\/p>\n\n\n\n

OWAReaper busca complementos de Outlook con permisos ReadWriteMailbox<\/code>. Cuando encuentra un complemento adecuado, abusa de ese acceso para robar tokens OAuth.<\/p>\n\n\n\n

Los permisos de buz\u00f3n crean persistencia en el servidor<\/h3>\n\n\n\n

La puerta trasera puede conceder permisos de buz\u00f3n de nivel Propietario al usuario Default de Exchange en todas las carpetas de correo. Esta configuraci\u00f3n podr\u00eda permitir a un atacante acceder al buz\u00f3n comprometido a trav\u00e9s de otra cuenta autenticada dentro de la organizaci\u00f3n.<\/p>\n\n\n\n

Dado que Exchange almacena estos permisos en el servidor, reinstalar el equipo de la v\u00edctima puede no eliminar al atacante. Cambiar la contrase\u00f1a del usuario tambi\u00e9n podr\u00eda no bloquear el acceso si los permisos maliciosos del buz\u00f3n y los tokens OAuth robados permanecen activos.<\/p>\n\n\n\n

OWAReaper crea otro mecanismo de persistencia a trav\u00e9s de la cach\u00e9 sin conexi\u00f3n de Outlook Web Access. Habilita el almacenamiento en cach\u00e9 de OWA e inyecta un iframe malicioso en los mensajes almacenados en la base de datos IndexedDB del navegador.<\/p>\n\n\n\n

El iframe se ejecuta cada vez que la v\u00edctima abre un mensaje envenenado desde la cach\u00e9 sin conexi\u00f3n. Este m\u00e9todo funciona independientemente de los permisos de buz\u00f3n en el servidor.<\/p>\n\n\n\n

Comandos ocultos en GitHub y mensajes de correo electr\u00f3nico<\/h3>\n\n\n\n

OWAReaper admite dos m\u00e9todos de comando y control.<\/p>\n\n\n\n

El primer m\u00e9todo utiliza comandos cifrados ocultos dentro de los mensajes de confirmaci\u00f3n de GitHub. El segundo se basa en correos electr\u00f3nicos con formato especial enviados directamente al buz\u00f3n comprometido.<\/p>\n\n\n\n

Para el robo de datos, el malware env\u00eda principalmente informaci\u00f3n cifrada a trav\u00e9s de HTTPS mediante dominios de redes de entrega de contenido de im\u00e1genes. Cifra los datos introducidos en las rutas de solicitud con AES-CTR.<\/p>\n\n\n\n

Un canal secundario env\u00eda la informaci\u00f3n robada directamente a un servidor controlado por el atacante cuando el m\u00e9todo principal falla.<\/p>\n\n\n\n

Las organizaciones deber\u00edan revisar los permisos de Exchange<\/h3>\n\n\n\n

Proofpoint public\u00f3 un n\u00famero limitado de indicadores de compromiso, incluidos dominios maliciosos y HTML que contiene el exploit y la carga \u00fatil.<\/p>\n\n\n\n

Las organizaciones deber\u00edan instalar la actualizaci\u00f3n de seguridad de Microsoft para CVE-2026-42897 e inspeccionar sus entornos Exchange en busca de signos de compromiso. Los administradores deber\u00edan revisar:<\/p>\n\n\n\n