{"id":24824,"date":"2026-07-30T10:07:43","date_gmt":"2026-07-30T10:07:43","guid":{"rendered":"https:\/\/windowsreport.com\/fr\/owareaper-backdoor-cible-les-utilisateurs-de-microsoft-exchange\/"},"modified":"2026-07-30T10:07:43","modified_gmt":"2026-07-30T10:07:43","slug":"owareaper-backdoor-cible-les-utilisateurs-de-microsoft-exchange","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/fr\/owareaper-backdoor-cible-les-utilisateurs-de-microsoft-exchange\/","title":{"rendered":"OWAReaper Backdoor cible les utilisateurs de Microsoft Exchange"},"content":{"rendered":"\n

Des pirates informatiques soutenus par l\u2019\u00c9tat russe exploitent une vuln\u00e9rabilit\u00e9 de Microsoft Exchange Outlook Web Access pour d\u00e9ployer OWAReaper, une porte d\u00e9rob\u00e9e de messagerie web con\u00e7ue pour un acc\u00e8s \u00e0 long terme aux bo\u00eetes aux lettres.<\/p>\n\n\n\n

Le groupe, connu sous les noms de Laundry Bear et Void Blizzard, est suivi par Proofpoint<\/a> sous la r\u00e9f\u00e9rence TA488. Ses cibles incluent des organisations gouvernementales aux \u00c9tats-Unis et en Europe, ainsi que des entreprises des secteurs des t\u00e9l\u00e9communications, de la finance, de l\u2019h\u00f4tellerie et de l\u2019a\u00e9rospatiale.<\/p>\n\n\n\n

L\u2019attaque exploite la CVE-2026-42897<\/h2>\n\n\n\n

Cette campagne exploite la CVE-2026-42897<\/a>, une vuln\u00e9rabilit\u00e9 de cross-site scripting (XSS) dans Outlook Web Access.<\/p>\n\n\n\n

Cette faille permet l\u2019ex\u00e9cution de code JavaScript malveillant lorsqu\u2019un utilisateur ouvre un e-mail sp\u00e9cialement con\u00e7u dans le volet de lecture d\u2019OWA. L\u2019attaque ne n\u00e9cessite aucune pi\u00e8ce jointe malveillante, aucun lien ni clic suppl\u00e9mentaire.<\/p>\n\n\n\n

Microsoft a divulgu\u00e9 la vuln\u00e9rabilit\u00e9 le 14 mai. Cependant, les preuves disponibles indiquent que Laundry Bear l\u2019avait d\u00e9j\u00e0 exploit\u00e9e en tant que zero-day avant cette divulgation.<\/p>\n\n\n\n

Les attaquants font d\u00e9lib\u00e9r\u00e9ment en sorte que les e-mails paraissent sans importance. Le destinataire peut ouvrir le message, le consid\u00e9rer comme du courrier ind\u00e9sirable et ne pas le signaler, car il ne contient aucun lien ni pi\u00e8ce jointe manifestement malveillant.<\/p>\n\n\n\n

Les messages dissimulent des chargeurs JavaScript et des charges utiles encod\u00e9es en Base64 dans des URL d\u2019ic\u00f4nes de r\u00e9seaux sociaux. Les donn\u00e9es malveillantes apparaissent apr\u00e8s le caract\u00e8re #<\/code>, ce qui rend l\u2019e-mail plus difficile \u00e0 identifier comme une attaque.<\/p>\n\n\n\n

OWAReaper supprime les preuves et collecte des identifiants<\/h3>\n\n\n\n

OWAReaper op\u00e8re enti\u00e8rement dans le volet de lecture d\u2019Outlook Web Access. Une fois ex\u00e9cut\u00e9e, la porte d\u00e9rob\u00e9e r\u00e9\u00e9crit l\u2019e-mail d\u2019origine sur le serveur Exchange et supprime les preuves de l\u2019exploit.<\/p>\n\n\n\n

Elle collecte ensuite des informations sur la victime, notamment l\u2019adresse e-mail, le nom d\u2019utilisateur et les d\u00e9tails de configuration d\u2019Outlook.<\/p>\n\n\n\n

Le logiciel malveillant cr\u00e9e \u00e9galement des \u00e9l\u00e9ments de navigateur invisibles qui tentent de capturer les identifiants saisis automatiquement par un gestionnaire de mots de passe ou la fonction de remplissage automatique du navigateur.<\/p>\n\n\n\n

OWAReaper recherche des compl\u00e9ments Outlook disposant de l\u2019autorisation ReadWriteMailbox<\/code>. Lorsqu\u2019elle trouve un compl\u00e9ment appropri\u00e9, elle exploite cet acc\u00e8s pour voler des jetons OAuth.<\/p>\n\n\n\n

Les autorisations de bo\u00eete aux lettres cr\u00e9ent une persistance c\u00f4t\u00e9 serveur<\/h3>\n\n\n\n

La porte d\u00e9rob\u00e9e peut accorder des autorisations de bo\u00eete aux lettres de niveau Propri\u00e9taire \u00e0 l\u2019utilisateur Default d\u2019Exchange sur tous les dossiers de messagerie. Cette configuration peut permettre \u00e0 un attaquant d\u2019acc\u00e9der \u00e0 la bo\u00eete aux lettres compromise via un autre compte authentifi\u00e9 au sein de l\u2019organisation.<\/p>\n\n\n\n

\u00c9tant donn\u00e9 qu\u2019Exchange stocke ces autorisations sur le serveur, la r\u00e9installation de l\u2019ordinateur de la victime peut ne pas supprimer l\u2019attaquant. Le changement du mot de passe de l\u2019utilisateur peut \u00e9galement ne pas bloquer l\u2019acc\u00e8s si les autorisations malveillantes de bo\u00eete aux lettres et les jetons OAuth vol\u00e9s restent actifs.<\/p>\n\n\n\n

OWAReaper cr\u00e9e un autre m\u00e9canisme de persistance via le cache hors connexion d\u2019Outlook Web Access. Elle active la mise en cache d\u2019OWA et injecte une iframe malveillante dans les messages stock\u00e9s dans la base de donn\u00e9es IndexedDB du navigateur.<\/p>\n\n\n\n

L\u2019iframe s\u2019ex\u00e9cute chaque fois que la victime ouvre un message empoisonn\u00e9 depuis le cache hors connexion. Cette m\u00e9thode fonctionne ind\u00e9pendamment des autorisations de bo\u00eete aux lettres c\u00f4t\u00e9 serveur.<\/p>\n\n\n\n

Des commandes cach\u00e9es dans GitHub et les messages \u00e9lectroniques<\/h3>\n\n\n\n

OWAReaper prend en charge deux m\u00e9thodes de commande et contr\u00f4le.<\/p>\n\n\n\n

La premi\u00e8re utilise des commandes chiffr\u00e9es dissimul\u00e9es dans des messages de commit GitHub. La seconde repose sur des e-mails sp\u00e9cialement format\u00e9s envoy\u00e9s directement \u00e0 la bo\u00eete aux lettres compromise.<\/p>\n\n\n\n

Pour l\u2019exfiltration de donn\u00e9es, le logiciel malveillant envoie principalement des informations chiffr\u00e9es via HTTPS en passant par des domaines de r\u00e9seaux de diffusion de contenu (CDN) d\u2019images. Il chiffre les donn\u00e9es plac\u00e9es dans les chemins de requ\u00eate avec AES-CTR.<\/p>\n\n\n\n

Un canal secondaire envoie les informations vol\u00e9es directement vers un serveur contr\u00f4l\u00e9 par l\u2019attaquant lorsque la m\u00e9thode principale \u00e9choue.<\/p>\n\n\n\n

Les organisations doivent examiner les autorisations Exchange<\/h3>\n\n\n\n

Proofpoint a publi\u00e9 un nombre limit\u00e9 d\u2019indicateurs de compromission, notamment des domaines malveillants et du code HTML contenant l\u2019exploit et la charge utile.<\/p>\n\n\n\n

Les organisations doivent installer la mise \u00e0 jour de s\u00e9curit\u00e9 de Microsoft pour la CVE-2026-42897 et inspecter leurs environnements Exchange \u00e0 la recherche de signes de compromission. Les administrateurs doivent examiner :<\/p>\n\n\n\n