OWAReaper Backdoor cible les utilisateurs de Microsoft Exchange

Des pirates informatiques soutenus par l’État russe exploitent une vulnérabilité de Microsoft Exchange Outlook Web Access pour déployer OWAReaper, une porte dérobée de messagerie web conçue pour un accès à long terme aux boîtes aux lettres.

Le groupe, connu sous les noms de Laundry Bear et Void Blizzard, est suivi par Proofpoint sous la référence TA488. Ses cibles incluent des organisations gouvernementales aux États-Unis et en Europe, ainsi que des entreprises des secteurs des télécommunications, de la finance, de l’hôtellerie et de l’aérospatiale.

L’attaque exploite la CVE-2026-42897

Cette campagne exploite la CVE-2026-42897, une vulnérabilité de cross-site scripting (XSS) dans Outlook Web Access.

Cette faille permet l’exécution de code JavaScript malveillant lorsqu’un utilisateur ouvre un e-mail spécialement conçu dans le volet de lecture d’OWA. L’attaque ne nécessite aucune pièce jointe malveillante, aucun lien ni clic supplémentaire.

Microsoft a divulgué la vulnérabilité le 14 mai. Cependant, les preuves disponibles indiquent que Laundry Bear l’avait déjà exploitée en tant que zero-day avant cette divulgation.

Les attaquants font délibérément en sorte que les e-mails paraissent sans importance. Le destinataire peut ouvrir le message, le considérer comme du courrier indésirable et ne pas le signaler, car il ne contient aucun lien ni pièce jointe manifestement malveillant.

Les messages dissimulent des chargeurs JavaScript et des charges utiles encodées en Base64 dans des URL d’icônes de réseaux sociaux. Les données malveillantes apparaissent après le caractère #, ce qui rend l’e-mail plus difficile à identifier comme une attaque.

OWAReaper supprime les preuves et collecte des identifiants

OWAReaper opère entièrement dans le volet de lecture d’Outlook Web Access. Une fois exécutée, la porte dérobée réécrit l’e-mail d’origine sur le serveur Exchange et supprime les preuves de l’exploit.

Elle collecte ensuite des informations sur la victime, notamment l’adresse e-mail, le nom d’utilisateur et les détails de configuration d’Outlook.

Le logiciel malveillant crée également des éléments de navigateur invisibles qui tentent de capturer les identifiants saisis automatiquement par un gestionnaire de mots de passe ou la fonction de remplissage automatique du navigateur.

OWAReaper recherche des compléments Outlook disposant de l’autorisation ReadWriteMailbox. Lorsqu’elle trouve un complément approprié, elle exploite cet accès pour voler des jetons OAuth.

Les autorisations de boîte aux lettres créent une persistance côté serveur

La porte dérobée peut accorder des autorisations de boîte aux lettres de niveau Propriétaire à l’utilisateur Default d’Exchange sur tous les dossiers de messagerie. Cette configuration peut permettre à un attaquant d’accéder à la boîte aux lettres compromise via un autre compte authentifié au sein de l’organisation.

Étant donné qu’Exchange stocke ces autorisations sur le serveur, la réinstallation de l’ordinateur de la victime peut ne pas supprimer l’attaquant. Le changement du mot de passe de l’utilisateur peut également ne pas bloquer l’accès si les autorisations malveillantes de boîte aux lettres et les jetons OAuth volés restent actifs.

OWAReaper crée un autre mécanisme de persistance via le cache hors connexion d’Outlook Web Access. Elle active la mise en cache d’OWA et injecte une iframe malveillante dans les messages stockés dans la base de données IndexedDB du navigateur.

L’iframe s’exécute chaque fois que la victime ouvre un message empoisonné depuis le cache hors connexion. Cette méthode fonctionne indépendamment des autorisations de boîte aux lettres côté serveur.

Des commandes cachées dans GitHub et les messages électroniques

OWAReaper prend en charge deux méthodes de commande et contrôle.

La première utilise des commandes chiffrées dissimulées dans des messages de commit GitHub. La seconde repose sur des e-mails spécialement formatés envoyés directement à la boîte aux lettres compromise.

Pour l’exfiltration de données, le logiciel malveillant envoie principalement des informations chiffrées via HTTPS en passant par des domaines de réseaux de diffusion de contenu (CDN) d’images. Il chiffre les données placées dans les chemins de requête avec AES-CTR.

Un canal secondaire envoie les informations volées directement vers un serveur contrôlé par l’attaquant lorsque la méthode principale échoue.

Les organisations doivent examiner les autorisations Exchange

Proofpoint a publié un nombre limité d’indicateurs de compromission, notamment des domaines malveillants et du code HTML contenant l’exploit et la charge utile.

Les organisations doivent installer la mise à jour de sécurité de Microsoft pour la CVE-2026-42897 et inspecter leurs environnements Exchange à la recherche de signes de compromission. Les administrateurs doivent examiner :

• Les autorisations de boîte aux lettres attribuées aux utilisateurs Default
• Les compléments Outlook disposant d’un accès étendu aux boîtes aux lettres
• Les activités suspectes liées aux jetons OAuth
• Les requêtes inhabituelles à l’API GitHub
• Les messages potentiellement empoisonnés stockés dans les caches OWA

Les réinitialisations de mots de passe et la réinstallation des appareils peuvent ne pas supprimer complètement OWAReaper, car les attaquants peuvent conserver un accès via les autorisations côté serveur et les messages en cache hors connexion.

Dans d’autres actualités de sécurité, des pirates informatiques ont été surpris en train d’utiliser le Wi-Fi d’hôtels pour voler des comptes Microsoft 365, tandis que le ransomware Chaos utilise msaRAT pour dissimuler son trafic dans Chrome et Edge.

Pour répondre aux cybermenaces émergentes, Microsoft a également publié le nouveau modèle MAI-Cyber-1-Flash.

Via BleepingComputer