La backdoor OWAReaper prende di mira gli utenti di Microsoft Exchange

Hacker sponsorizzati dallo stato russo stanno sfruttando una vulnerabilità di Microsoft Exchange Outlook Web Access per diffondere OWAReaper, una backdoor per webmail progettata per l’accesso a lungo termine alle cassette postali.

Il gruppo, noto come Laundry Bear e Void Blizzard, è monitorato da Proofpoint come TA488. I suoi obiettivi includono organizzazioni governative negli Stati Uniti e in Europa, insieme a società di telecomunicazioni, finanziarie, del settore alberghiero e aerospaziale.

L’attacco sfrutta CVE-2026-42897

La campagna sfrutta CVE-2026-42897, una vulnerabilità di cross-site scripting in Outlook Web Access.

La falla consente l’esecuzione di JavaScript dannoso quando un utente apre un’email appositamente predisposta nel riquadro di lettura di OWA. L’attacco non richiede alcun allegato, collegamento o clic aggiuntivo dannoso.

Microsoft ha divulgato la vulnerabilità il 14 maggio. Tuttavia, le prove disponibili indicano che Laundry Bear l’aveva già sfruttata come zero-day prima della divulgazione.

Gli aggressori rendono deliberatamente le email poco importanti. Un destinatario potrebbe aprire il messaggio, scartarlo come spazzatura ed evitare di segnalarlo perché non contiene collegamenti o allegati dannosi evidenti.

I messaggi nascondono loader JavaScript e payload codificati in Base64 all’interno degli URL delle icone dei social media. I dati dannosi appaiono dopo il carattere #, rendendo l’email più difficile da identificare come un attacco.

OWAReaper rimuove le prove e raccoglie le credenziali

OWAReaper opera interamente all’interno del riquadro di lettura di Outlook Web Access. Una volta eseguito, la backdoor riscrive l’email originale sul server Exchange e rimuove le prove dell’exploit.

Quindi raccoglie informazioni sulla vittima, tra cui indirizzo email, nome utente e dettagli di configurazione di Outlook.

Il malware crea anche elementi invisibili del browser che tentano di catturare le credenziali immesse automaticamente da un gestore di password o dalla funzione di riempimento automatico del browser.

OWAReaper cerca componenti aggiuntivi di Outlook con autorizzazioni ReadWriteMailbox. Quando trova un componente aggiuntivo adatto, abusa di tale accesso per rubare i token OAuth.

Le autorizzazioni delle cassette postali creano persistenza lato server

La backdoor può concedere autorizzazioni di cassetta postale a livello di proprietario all’utente Predefinito di Exchange su ogni cartella di posta. Questa configurazione potrebbe consentire a un utente malintenzionato di accedere alla cassetta postale compromessa tramite un altro account autenticato all’interno dell’organizzazione.

Poiché Exchange archivia queste autorizzazioni sul server, reinstallare il computer della vittima potrebbe non rimuovere l’aggressore. Anche cambiare la password dell’utente potrebbe non bloccare l’accesso se le autorizzazioni dannose della cassetta postale e i token OAuth rubati rimangono attivi.

OWAReaper crea un altro meccanismo di persistenza tramite la cache offline di Outlook Web Access. Abilita la cache di OWA e inietta un iframe dannoso nei messaggi archiviati nel database IndexedDB del browser.

L’iframe viene eseguito ogni volta che la vittima apre un messaggio compromesso dalla cache offline. Questo metodo opera separatamente dalle autorizzazioni lato server delle cassette postali.

Comandi nascosti in GitHub e nei messaggi email

OWAReaper supporta due metodi di comando e controllo.

Il primo metodo utilizza comandi crittografati nascosti all’interno dei messaggi di commit di GitHub. Il secondo si basa su email appositamente formattate inviate direttamente alla cassetta postale compromessa.

Per il furto di dati, il malware invia principalmente informazioni crittografate su HTTPS attraverso domini di reti di distribuzione di contenuti per immagini. Crittografa i dati inseriti nei percorsi delle richieste con AES-CTR.

Un canale secondario invia le informazioni rubate direttamente a un server controllato dagli aggressori quando il metodo principale fallisce.

Le organizzazioni dovrebbero rivedere le autorizzazioni di Exchange

Proofpoint ha pubblicato un numero limitato di indicatori di compromissione, inclusi domini dannosi e HTML contenente l’exploit e il payload.

Le organizzazioni dovrebbero installare l’aggiornamento di sicurezza Microsoft per CVE-2026-42897 e ispezionare i propri ambienti Exchange per rilevare segni di compromissione. Gli amministratori dovrebbero esaminare:

• Autorizzazioni delle cassette postali assegnate all’utente Predefinito
• Componenti aggiuntivi di Outlook con accesso esteso alle cassette postali
• Attività sospette relative ai token OAuth
• Richieste API GitHub insolite
• Messaggi potenzialmente compromessi archiviati nella cache OWA

Il reset delle password e la reinstallazione del dispositivo potrebbero non rimuovere completamente OWAReaper perché gli aggressori possono mantenere l’accesso tramite le autorizzazioni lato server e i messaggi memorizzati nella cache offline.

In altre notizie di sicurezza, è stato scoperto che gli hacker usano il Wi-Fi degli hotel per rubare account Microsoft 365, mentre il ransomware Chaos utilizza msaRAT per nascondere il traffico in Chrome ed Edge.

Per rispondere alle minacce informatiche emergenti, Microsoft ha anche rilasciato il nuovo modello MAI-Cyber-1-Flash.

Via BleepingComputer