OWAReaper backdoor prende di mira gli utenti di Microsoft Exchange

Hacker sponsorizzati dallo stato russo stanno sfruttando una vulnerabilità di Microsoft Exchange Outlook Web Access per distribuire OWAReaper, una backdoor per webmail progettata per un accesso a lungo termine alle cassette postali.

Il gruppo, noto come Laundry Bear e Void Blizzard, è tracciato da Proofpoint come TA488. I suoi obiettivi includono organizzazioni governative negli Stati Uniti e in Europa, oltre a società di telecomunicazioni, finanziarie, alberghiere e aerospaziali.

L’attacco sfrutta CVE-2026-42897

La campagna sfrutta CVE-2026-42897, una vulnerabilità di cross-site scripting in Outlook Web Access.

La vulnerabilità consente l’esecuzione di JavaScript dannoso quando un utente apre un’email appositamente predisposta nel riquadro di lettura di OWA. L’attacco non richiede alcun allegato dannoso, collegamento o clic aggiuntivo.

Microsoft ha divulgato la vulnerabilità il 14 maggio. Tuttavia, le prove disponibili indicano che Laundry Bear l’aveva già sfruttata come zero-day prima della divulgazione.

Gli aggressori fanno in modo che le email appaiano deliberatamente poco importanti. Un destinatario potrebbe aprire il messaggio, cestinarlo come spazzatura e non segnalarlo perché non contiene collegamenti o allegati dannosi evidenti.

I messaggi nascondono caricatori JavaScript e payload codificati in Base64 all’interno degli URL delle icone dei social media. I dati dannosi compaiono dopo il carattere #, rendendo l’email più difficile da identificare come attacco.

OWAReaper rimuove le prove e raccoglie le credenziali

OWAReaper opera interamente all’interno del riquadro di lettura di Outlook Web Access. Una volta eseguito, la backdoor riscrive l’email originale sul server Exchange e rimuove le prove dell’exploit.

Raccoglie quindi informazioni sulla vittima, inclusi indirizzo email, nome utente e dettagli di configurazione di Outlook.

Il malware crea anche elementi del browser invisibili che tentano di intercettare le credenziali inserite automaticamente da un gestore di password o dalla funzione di compilazione automatica del browser.

OWAReaper cerca componenti aggiuntivi di Outlook con autorizzazioni ReadWriteMailbox. Quando trova un componente aggiuntivo adatto, abusa di quell’accesso per rubare token OAuth.

Le autorizzazioni delle cassette postali creano persistenza lato server

La backdoor può concedere autorizzazioni a livello Proprietario sulla cassetta postale all’utente Predefinito di Exchange su ogni cartella di posta. Questa configurazione potrebbe consentire a un utente malintenzionato di accedere alla cassetta postale compromessa tramite un altro account autenticato all’interno dell’organizzazione.

Poiché Exchange archivia queste autorizzazioni sul server, la reinstallazione del computer della vittima potrebbe non rimuovere l’utente malintenzionato. Anche la modifica della password dell’utente potrebbe non bloccare l’accesso se le autorizzazioni dannose della cassetta postale e i token OAuth rubati rimangono attivi.

OWAReaper crea un altro meccanismo di persistenza tramite la cache offline di Outlook Web Access. Abilita la cache di OWA e inietta un iframe dannoso nei messaggi archiviati nel database IndexedDB del browser.

L’iframe viene eseguito ogni volta che la vittima apre un messaggio infetto dalla cache offline. Questo metodo opera separatamente dalle autorizzazioni lato server della cassetta postale.

Comandi nascosti in GitHub e nei messaggi email

OWAReaper supporta due metodi di comando e controllo.

Il primo metodo utilizza comandi crittografati nascosti all’interno dei messaggi di commit di GitHub. Il secondo si basa su email appositamente formattate inviate direttamente alla cassetta postale compromessa.

Per il furto di dati, il malware invia principalmente informazioni crittografate tramite HTTPS attraverso domini di reti di distribuzione di contenuti per immagini. Crittografa i dati inseriti nei percorsi delle richieste con AES-CTR.

Un canale secondario invia le informazioni rubate direttamente a un server controllato dall’utente malintenzionato quando il metodo primario fallisce.

Le organizzazioni dovrebbero rivedere le autorizzazioni di Exchange

Proofpoint ha pubblicato un numero limitato di indicatori di compromissione, inclusi domini dannosi e codice HTML contenente l’exploit e il payload.

Le organizzazioni dovrebbero installare l’aggiornamento di sicurezza Microsoft per CVE-2026-42897 e ispezionare i propri ambienti Exchange alla ricerca di segni di compromissione. Gli amministratori dovrebbero esaminare:

• Autorizzazioni delle cassette postali assegnate all’utente Predefinito
• Componenti aggiuntivi di Outlook con accesso esteso alle cassette postali
• Attività sospette relative ai token OAuth
• Richieste API GitHub insolite
• Messaggi potenzialmente infetti archiviati nelle cache OWA

I ripristini della password e la reinstallazione del dispositivo potrebbero non rimuovere completamente OWAReaper perché gli aggressori possono mantenere l’accesso tramite le autorizzazioni lato server e i messaggi memorizzati nella cache offline.

In altre notizie sulla sicurezza, è stato scoperto che hacker stanno utilizzando il Wi-Fi degli hotel per rubare account Microsoft 365, mentre il ransomware Chaos sta usando msaRAT per nascondere il traffico in Chrome ed Edge.

Per rispondere alle minacce informatiche emergenti, Microsoft ha anche rilasciato il nuovo modello MAI-Cyber-1-Flash.

Via BleepingComputer