La backdoor OWAReaper prende di mira gli utenti di Microsoft Exchange

Hacker sponsorizzati dallo stato russo stanno sfruttando una vulnerabilità di Microsoft Exchange Outlook Web Access per distribuire OWAReaper, una backdoor per la webmail progettata per un accesso a lungo termine alle caselle di posta.

Il gruppo, noto come Laundry Bear e Void Blizzard, è monitorato da Proofpoint come TA488. I suoi obiettivi includono organizzazioni governative negli Stati Uniti e in Europa, insieme a società di telecomunicazioni, finanziarie, del settore alberghiero e aerospaziali.

L’attacco sfrutta CVE-2026-42897

La campagna sfrutta CVE-2026-42897, una vulnerabilità di cross-site scripting in Outlook Web Access.

La falla consente l’esecuzione di JavaScript malevolo quando un utente apre un’email appositamente predisposta nel riquadro di lettura di OWA. L’attacco non richiede alcun allegato, collegamento o clic aggiuntivo dannoso.

Microsoft ha divulgato la vulnerabilità il 14 maggio. Tuttavia, le prove disponibili indicano che Laundry Bear l’aveva già sfruttata come zero-day prima della divulgazione.

Gli aggressori fanno deliberatamente sembrare le email poco importanti. Un destinatario potrebbe aprire il messaggio, scartarlo come posta indesiderata ed evitare di segnalarlo perché non contiene collegamenti o allegati dannosi evidenti.

I messaggi nascondono loader JavaScript e payload codificati in Base64 all’interno degli URL delle icone dei social media. I dati dannosi compaiono dopo il carattere #, rendendo l’email più difficile da identificare come un attacco.

OWAReaper rimuove le prove e raccoglie le credenziali

OWAReaper opera interamente all’interno del riquadro di lettura di Outlook Web Access. Una volta eseguita, la backdoor riscrive l’email originale sul server Exchange e rimuove le prove dell’exploit.

Successivamente raccoglie informazioni sulla vittima, inclusi l’indirizzo email, il nome utente e i dettagli di configurazione di Outlook.

Il malware crea anche elementi invisibili del browser che tentano di catturare le credenziali inserite automaticamente da un gestore di password o dalla funzione di riempimento automatico del browser.

OWAReaper cerca componenti aggiuntivi di Outlook con autorizzazioni ReadWriteMailbox. Quando trova un componente aggiuntivo adatto, abusa di tale accesso per rubare i token OAuth.

Le autorizzazioni della casella di posta creano persistenza lato server

La backdoor può concedere autorizzazioni a livello di Proprietario sulla casella di posta all’utente predefinito di Exchange in tutte le cartelle di posta. Questa configurazione potrebbe consentire a un aggressore di accedere alla casella di posta compromessa tramite un altro account autenticato all’interno dell’organizzazione.

Poiché Exchange memorizza queste autorizzazioni sul server, reinstallare il computer della vittima potrebbe non rimuovere l’aggressore. Anche la modifica della password dell’utente potrebbe non riuscire a bloccare l’accesso se le autorizzazioni dannose della casella di posta e i token OAuth rubati rimangono attivi.

OWAReaper crea un altro meccanismo di persistenza tramite la cache offline di Outlook Web Access. Abilita la cache di OWA e inietta un iframe dannoso nei messaggi memorizzati nel database IndexedDB del browser.

L’iframe viene eseguito ogni volta che la vittima apre un messaggio infetto dalla cache offline. Questo metodo opera separatamente dalle autorizzazioni della casella di posta lato server.

Comandi nascosti nei messaggi di GitHub e nelle email

OWAReaper supporta due metodi di command-and-control.

Il primo metodo utilizza comandi crittografati nascosti all’interno dei messaggi di commit di GitHub. Il secondo si basa su email appositamente formattate inviate direttamente alla casella di posta compromessa.

Per il furto di dati, il malware invia principalmente informazioni crittografate su HTTPS attraverso domini di reti di distribuzione di contenuti per immagini. Crittografa i dati inseriti nei percorsi delle richieste con AES-CTR.

Un canale secondario invia le informazioni rubate direttamente a un server controllato dall’aggressore quando il metodo principale fallisce.

Le organizzazioni dovrebbero rivedere le autorizzazioni di Exchange

Proofpoint ha pubblicato un numero limitato di indicatori di compromissione, inclusi domini dannosi e HTML contenente l’exploit e il payload.

Le organizzazioni dovrebbero installare l’aggiornamento di sicurezza di Microsoft per CVE-2026-42897 e ispezionare i propri ambienti Exchange per individuare segni di compromissione. Gli amministratori dovrebbero controllare:

• Le autorizzazioni della casella di posta assegnate agli utenti Default
• I componenti aggiuntivi di Outlook con accesso esteso alla casella di posta
• Attività sospette dei token OAuth
• Richieste insolite all’API di GitHub
• Messaggi potenzialmente infetti memorizzati nelle cache di OWA

Il reset delle password e la reinstallazione del dispositivo potrebbero non rimuovere completamente OWAReaper, perché gli aggressori possono mantenere l’accesso tramite le autorizzazioni lato server e i messaggi memorizzati nella cache offline.

In altre notizie sulla sicurezza, è stato scoperto che degli hacker utilizzano il Wi-Fi degli hotel per rubare account Microsoft 365, mentre il ransomware Chaos sta usando msaRAT per nascondere il traffico in Chrome ed Edge.

Per rispondere alle minacce informatiche emergenti, Microsoft ha anche rilasciato il nuovo modello MAI-Cyber-1-Flash.

Via BleepingComputer