{"id":24822,"date":"2026-07-30T09:59:42","date_gmt":"2026-07-30T09:59:42","guid":{"rendered":"https:\/\/windowsreport.com\/fr\/la-porte-derobee-owareaper-cible-les-utilisateurs-de-microsoft-exchange\/"},"modified":"2026-07-30T09:59:42","modified_gmt":"2026-07-30T09:59:42","slug":"la-porte-derobee-owareaper-cible-les-utilisateurs-de-microsoft-exchange","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/fr\/la-porte-derobee-owareaper-cible-les-utilisateurs-de-microsoft-exchange\/","title":{"rendered":"La porte d\u00e9rob\u00e9e OWAReaper cible les utilisateurs de Microsoft Exchange"},"content":{"rendered":"\n

Des hackers russes soutenus par l\u2019\u00c9tat exploitent une vuln\u00e9rabilit\u00e9 d\u2019Outlook Web Access de Microsoft Exchange pour d\u00e9ployer OWAReaper, une porte d\u00e9rob\u00e9e de messagerie web con\u00e7ue pour un acc\u00e8s \u00e0 long terme aux bo\u00eetes aux lettres.<\/p>\n\n\n\n

Le groupe, connu sous les noms de Laundry Bear et Void Blizzard, est suivi par Proofpoint<\/a> sous le nom TA488. Ses cibles incluent des organisations gouvernementales aux \u00c9tats-Unis et en Europe, ainsi que des entreprises des t\u00e9l\u00e9communications, de la finance, de l\u2019h\u00f4tellerie et de l\u2019a\u00e9rospatiale.<\/p>\n\n\n\n

L\u2019attaque exploite CVE-2026-42897<\/h2>\n\n\n\n

La campagne exploite CVE-2026-42897<\/a>, une vuln\u00e9rabilit\u00e9 de scripting intersite (XSS) dans Outlook Web Access.<\/p>\n\n\n\n

La faille permet \u00e0 du code JavaScript malveillant de s\u2019ex\u00e9cuter lorsqu\u2019un utilisateur ouvre un e-mail sp\u00e9cialement con\u00e7u dans le volet de lecture d\u2019OWA. L\u2019attaque ne n\u00e9cessite aucune pi\u00e8ce jointe malveillante, aucun lien ni clic suppl\u00e9mentaire.<\/p>\n\n\n\n

Microsoft a divulgu\u00e9 la vuln\u00e9rabilit\u00e9 le 14 mai. Cependant, les preuves disponibles indiquent que Laundry Bear l\u2019avait d\u00e9j\u00e0 exploit\u00e9e en tant que zero-day avant la divulgation.<\/p>\n\n\n\n

Les attaquants font d\u00e9lib\u00e9r\u00e9ment en sorte que les e-mails semblent sans importance. Un destinataire peut ouvrir le message, le rejeter comme ind\u00e9sirable et \u00e9viter de le signaler car il ne contient aucun lien ou pi\u00e8ce jointe manifestement malveillant.<\/p>\n\n\n\n

Les messages dissimulent des chargeurs JavaScript et des charges utiles encod\u00e9es en Base64 \u00e0 l\u2019int\u00e9rieur des URL d\u2019ic\u00f4nes de r\u00e9seaux sociaux. Les donn\u00e9es malveillantes apparaissent apr\u00e8s le caract\u00e8re #<\/code>, rendant l\u2019e-mail plus difficile \u00e0 identifier comme une attaque.<\/p>\n\n\n\n

OWAReaper supprime les preuves et collecte les identifiants<\/h3>\n\n\n\n

OWAReaper fonctionne enti\u00e8rement dans le volet de lecture d\u2019Outlook Web Access. Une fois ex\u00e9cut\u00e9e, la porte d\u00e9rob\u00e9e r\u00e9\u00e9crit l\u2019e-mail d\u2019origine sur le serveur Exchange et supprime les preuves de l\u2019exploit.<\/p>\n\n\n\n

Elle collecte ensuite des informations sur la victime, notamment l\u2019adresse e-mail, le nom d\u2019utilisateur et les d\u00e9tails de configuration d\u2019Outlook.<\/p>\n\n\n\n

Le malware cr\u00e9e \u00e9galement des \u00e9l\u00e9ments de navigateur invisibles qui tentent de capturer les identifiants saisis automatiquement par un gestionnaire de mots de passe ou la fonction de remplissage automatique du navigateur.<\/p>\n\n\n\n

OWAReaper recherche les compl\u00e9ments Outlook disposant de l\u2019autorisation ReadWriteMailbox<\/code>. Lorsqu\u2019elle trouve un compl\u00e9ment appropri\u00e9, elle abuse de cet acc\u00e8s pour voler des jetons OAuth.<\/p>\n\n\n\n

Les autorisations de bo\u00eete aux lettres cr\u00e9ent une persistance c\u00f4t\u00e9 serveur<\/h3>\n\n\n\n

La porte d\u00e9rob\u00e9e peut attribuer des autorisations de propri\u00e9taire (Owner) sur la bo\u00eete aux lettres \u00e0 l\u2019utilisateur Exchange Default sur l\u2019ensemble des dossiers de messagerie. Cette configuration peut permettre \u00e0 un attaquant d\u2019acc\u00e9der \u00e0 la bo\u00eete aux lettres compromise via un autre compte authentifi\u00e9 au sein de l\u2019organisation.<\/p>\n\n\n\n

\u00c9tant donn\u00e9 qu\u2019Exchange conserve ces autorisations sur le serveur, la r\u00e9installation de l\u2019ordinateur de la victime peut ne pas supprimer l\u2019attaquant. Modifier le mot de passe de l\u2019utilisateur peut \u00e9galement \u00e9chouer \u00e0 bloquer l\u2019acc\u00e8s si les autorisations de bo\u00eete aux lettres malveillantes et les jetons OAuth vol\u00e9s restent actifs.<\/p>\n\n\n\n

OWAReaper cr\u00e9e un autre m\u00e9canisme de persistance via le cache hors connexion d\u2019Outlook Web Access. Elle active la mise en cache OWA et injecte une iframe malveillante dans les messages stock\u00e9s dans la base de donn\u00e9es IndexedDB du navigateur.<\/p>\n\n\n\n

L\u2019iframe s\u2019ex\u00e9cute chaque fois que la victime ouvre un message empoisonn\u00e9 depuis le cache hors connexion. Cette m\u00e9thode fonctionne ind\u00e9pendamment des autorisations de bo\u00eete aux lettres c\u00f4t\u00e9 serveur.<\/p>\n\n\n\n

Des commandes dissimul\u00e9es dans GitHub et les e-mails<\/h3>\n\n\n\n

OWAReaper prend en charge deux m\u00e9thodes de commandement et contr\u00f4le.<\/p>\n\n\n\n

La premi\u00e8re utilise des commandes chiffr\u00e9es dissimul\u00e9es dans les messages de commit GitHub. La seconde s\u2019appuie sur des e-mails sp\u00e9cialement format\u00e9s envoy\u00e9s directement dans la bo\u00eete aux lettres compromise.<\/p>\n\n\n\n

Pour l\u2019exfiltration de donn\u00e9es, le malware envoie principalement des informations chiffr\u00e9es par HTTPS via des domaines de r\u00e9seaux de diffusion de contenu (CDN) d\u2019images. Il chiffre les donn\u00e9es plac\u00e9es dans les chemins de requ\u00eate avec AES-CTR.<\/p>\n\n\n\n

Un canal secondaire envoie les informations vol\u00e9es directement vers un serveur contr\u00f4l\u00e9 par l\u2019attaquant lorsque la m\u00e9thode principale \u00e9choue.<\/p>\n\n\n\n

Les organisations doivent examiner les autorisations Exchange<\/h3>\n\n\n\n

Proofpoint a publi\u00e9 un nombre limit\u00e9 d\u2019indicateurs de compromission, incluant des domaines malveillants et du code HTML contenant l\u2019exploit et la charge utile.<\/p>\n\n\n\n

Les organisations doivent installer la mise \u00e0 jour de s\u00e9curit\u00e9 de Microsoft pour CVE-2026-42897 et inspecter leurs environnements Exchange \u00e0 la recherche de signes de compromission. Les administrateurs doivent passer en revue :<\/p>\n\n\n\n