{"id":20507,"date":"2026-07-30T10:13:56","date_gmt":"2026-07-30T10:13:56","guid":{"rendered":"https:\/\/windowsreport.com\/it\/owareaper-backdoor-prende-di-mira-gli-utenti-di-microsoft-exchange\/"},"modified":"2026-07-30T10:13:56","modified_gmt":"2026-07-30T10:13:56","slug":"owareaper-backdoor-prende-di-mira-gli-utenti-di-microsoft-exchange","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/it\/owareaper-backdoor-prende-di-mira-gli-utenti-di-microsoft-exchange\/","title":{"rendered":"OWAReaper backdoor prende di mira gli utenti di Microsoft Exchange"},"content":{"rendered":"\n

Hacker sponsorizzati dallo stato russo stanno sfruttando una vulnerabilit\u00e0 di Microsoft Exchange Outlook Web Access per distribuire OWAReaper, una backdoor per webmail progettata per un accesso a lungo termine alle cassette postali.<\/p>\n\n\n\n

Il gruppo, noto come Laundry Bear e Void Blizzard, \u00e8 tracciato da Proofpoint<\/a> come TA488. I suoi obiettivi includono organizzazioni governative negli Stati Uniti e in Europa, oltre a societ\u00e0 di telecomunicazioni, finanziarie, alberghiere e aerospaziali.<\/p>\n\n\n\n

L’attacco sfrutta CVE-2026-42897<\/h2>\n\n\n\n

La campagna sfrutta CVE-2026-42897<\/a>, una vulnerabilit\u00e0 di cross-site scripting in Outlook Web Access.<\/p>\n\n\n\n

La vulnerabilit\u00e0 consente l’esecuzione di JavaScript dannoso quando un utente apre un’email appositamente predisposta nel riquadro di lettura di OWA. L’attacco non richiede alcun allegato dannoso, collegamento o clic aggiuntivo.<\/p>\n\n\n\n

Microsoft ha divulgato la vulnerabilit\u00e0 il 14 maggio. Tuttavia, le prove disponibili indicano che Laundry Bear l’aveva gi\u00e0 sfruttata come zero-day prima della divulgazione.<\/p>\n\n\n\n

Gli aggressori fanno in modo che le email appaiano deliberatamente poco importanti. Un destinatario potrebbe aprire il messaggio, cestinarlo come spazzatura e non segnalarlo perch\u00e9 non contiene collegamenti o allegati dannosi evidenti.<\/p>\n\n\n\n

I messaggi nascondono caricatori JavaScript e payload codificati in Base64 all’interno degli URL delle icone dei social media. I dati dannosi compaiono dopo il carattere #<\/code>, rendendo l’email pi\u00f9 difficile da identificare come attacco.<\/p>\n\n\n\n

OWAReaper rimuove le prove e raccoglie le credenziali<\/h3>\n\n\n\n

OWAReaper opera interamente all’interno del riquadro di lettura di Outlook Web Access. Una volta eseguito, la backdoor riscrive l’email originale sul server Exchange e rimuove le prove dell’exploit.<\/p>\n\n\n\n

Raccoglie quindi informazioni sulla vittima, inclusi indirizzo email, nome utente e dettagli di configurazione di Outlook.<\/p>\n\n\n\n

Il malware crea anche elementi del browser invisibili che tentano di intercettare le credenziali inserite automaticamente da un gestore di password o dalla funzione di compilazione automatica del browser.<\/p>\n\n\n\n

OWAReaper cerca componenti aggiuntivi di Outlook con autorizzazioni ReadWriteMailbox<\/code>. Quando trova un componente aggiuntivo adatto, abusa di quell’accesso per rubare token OAuth.<\/p>\n\n\n\n

Le autorizzazioni delle cassette postali creano persistenza lato server<\/h3>\n\n\n\n

La backdoor pu\u00f2 concedere autorizzazioni a livello Proprietario sulla cassetta postale all’utente Predefinito di Exchange su ogni cartella di posta. Questa configurazione potrebbe consentire a un utente malintenzionato di accedere alla cassetta postale compromessa tramite un altro account autenticato all’interno dell’organizzazione.<\/p>\n\n\n\n

Poich\u00e9 Exchange archivia queste autorizzazioni sul server, la reinstallazione del computer della vittima potrebbe non rimuovere l’utente malintenzionato. Anche la modifica della password dell’utente potrebbe non bloccare l’accesso se le autorizzazioni dannose della cassetta postale e i token OAuth rubati rimangono attivi.<\/p>\n\n\n\n

OWAReaper crea un altro meccanismo di persistenza tramite la cache offline di Outlook Web Access. Abilita la cache di OWA e inietta un iframe dannoso nei messaggi archiviati nel database IndexedDB del browser.<\/p>\n\n\n\n

L’iframe viene eseguito ogni volta che la vittima apre un messaggio infetto dalla cache offline. Questo metodo opera separatamente dalle autorizzazioni lato server della cassetta postale.<\/p>\n\n\n\n

Comandi nascosti in GitHub e nei messaggi email<\/h3>\n\n\n\n

OWAReaper supporta due metodi di comando e controllo.<\/p>\n\n\n\n

Il primo metodo utilizza comandi crittografati nascosti all’interno dei messaggi di commit di GitHub. Il secondo si basa su email appositamente formattate inviate direttamente alla cassetta postale compromessa.<\/p>\n\n\n\n

Per il furto di dati, il malware invia principalmente informazioni crittografate tramite HTTPS attraverso domini di reti di distribuzione di contenuti per immagini. Crittografa i dati inseriti nei percorsi delle richieste con AES-CTR.<\/p>\n\n\n\n

Un canale secondario invia le informazioni rubate direttamente a un server controllato dall’utente malintenzionato quando il metodo primario fallisce.<\/p>\n\n\n\n

Le organizzazioni dovrebbero rivedere le autorizzazioni di Exchange<\/h3>\n\n\n\n

Proofpoint ha pubblicato un numero limitato di indicatori di compromissione, inclusi domini dannosi e codice HTML contenente l’exploit e il payload.<\/p>\n\n\n\n

Le organizzazioni dovrebbero installare l’aggiornamento di sicurezza Microsoft per CVE-2026-42897 e ispezionare i propri ambienti Exchange alla ricerca di segni di compromissione. Gli amministratori dovrebbero esaminare:<\/p>\n\n\n\n