OWAReaperバックドアがMicrosoft Exchangeユーザーを標的に

ロシア政府支援のハッカーが、Microsoft Exchange Outlook Web Accessの脆弱性を悪用し、長期のメールボックスアクセス用に設計されたWebメールバックドア「OWAReaper」を展開しています。

このグループは、Laundry BearやVoid Blizzardとして知られ、ProofpointによってTA488として追跡されています。標的には、米国と欧州の政府機関のほか、通信、金融、ホスピタリティ、航空宇宙企業が含まれます。

攻撃はCVE-2026-42897を悪用

このキャンペーンは、CVE-2026-42897（Outlook Web Accessのクロスサイトスクリプティング脆弱性）を悪用します。

この欠陥により、ユーザーがOWAの閲覧ウィンドウで細工されたメールを開くと、悪意のあるJavaScriptが実行されます。悪意のある添付ファイル、リンク、追加のクリックは一切必要ありません。

Microsoftは5月14日にこの脆弱性を公開しましたが、入手可能な証拠は、公開前にLaundry Bearが既にゼロデイとして悪用していたことを示しています。

攻撃者は意図的に、これらのメールを重要でないように見せかけます。受信者はそのメッセージを開き、迷惑メールとして無視し、明らかな悪意のあるリンクや添付ファイルがないため報告を避ける可能性があります。

これらのメッセージは、SNSアイコンのURL内部にJavaScriptローダーとBase64エンコードされたペイロードを隠しています。悪意のあるデータは#文字の後に表示され、メールを攻撃として識別しにくくしています。

OWAReaperが証拠を削除し、資格情報を収集

OWAReaperは、完全にOutlook Web Accessの閲覧ウィンドウ内で動作します。実行されると、バックドアはExchangeサーバー上の元のメールを書き換え、悪用の痕跡を削除します。

その後、メールアドレス、ユーザー名、Outlookの構成の詳細など、被害者に関する情報を収集します。

このマルウェアは、パスワードマネージャーやブラウザの自動入力機能によって自動入力された資格情報をキャプチャしようとする不可視のブラウザ要素も作成します。

OWAReaperは、ReadWriteMailbox権限を持つOutlookアドインを検索します。適切なアドインが見つかると、そのアクセス権を悪用してOAuthトークンを盗みます。

メールボックス権限がサーバー側の永続性を実現

このバックドアは、すべてのメールフォルダーに対してExchange Defaultユーザーに所有者レベルのメールボックス権限を付与できます。この設定により、攻撃者は組織内の別の認証済みアカウントを通じて侵害されたメールボックスにアクセスできる可能性があります。

Exchangeがこれらの権限をサーバーに保存するため、被害者のコンピューターを再インストールしても攻撃者を排除できない場合があります。悪意のあるメールボックス権限と盗まれたOAuthトークンがアクティブなままである場合、ユーザーのパスワードを変更してもアクセスをブロックできない可能性があります。

OWAReaperは、Outlook Web Accessのオフラインキャッシュを通じてもう一つの永続化メカニズムを作成します。OWAキャッシュを有効にし、ブラウザのIndexedDBデータベースに保存されたメッセージに悪意のあるiframeを注入します。

このiframeは、被害者がオフラインキャッシュから細工されたメッセージを開くたびに実行されます。この手法は、サーバー側のメールボックス権限とは別に動作します。

GitHubとメールメッセージに隠されたコマンド

OWAReaperは、2つのコマンド＆コントロール方法をサポートしています。

1つ目は、GitHubのコミットメッセージに隠された暗号化コマンドを使用します。2つ目は、侵害されたメールボックスに直接送信される特別にフォーマットされたメールに依存します。

データ窃取には、マルウェアは主に画像コンテンツ配信ネットワークのドメインを介してHTTPSで暗号化情報を送信します。リクエストパス内に配置されたデータをAES-CTRで暗号化します。

プライマリメソッドが失敗した場合、セカンダリチャネルが盗んだ情報を攻撃者の制御するサーバーに直接送信します。

組織はExchange権限を確認すべき

Proofpointは、悪意のあるドメインやエクスプロイトとペイロードを含むHTMLなど、限定的な侵害指標を公開しました。

組織は、CVE-2026-42897のMicrosoftセキュリティ更新プログラムをインストールし、Exchange環境に侵害の兆候がないか調査する必要があります。管理者は以下を確認する必要があります。

• Defaultユーザーに割り当てられたメールボックス権限
• 広範なメールボックスアクセスを持つOutlookアドイン
• 不審なOAuthトークンアクティビティ
• 異常なGitHub APIリクエスト
• OWAキャッシュに保存された潜在的に悪意のあるメッセージ

パスワードのリセットやデバイスの再インストールでは、攻撃者がサーバー側の権限とオフラインキャッシュされたメッセージを通じてアクセスを維持できるため、OWAReaperを完全に削除できない可能性があります。

他のセキュリティニュースでは、ハッカーがホテルのWi-Fiを使用してMicrosoft 365アカウントを盗む事例が発見されている一方、ChaosランサムウェアはmsaRATを使用してChromeおよびEdgeのトラフィックを隠蔽しています。

新たなサイバー脅威に対応するため、Microsoftは新しいMAI-Cyber-1-Flashモデルもリリースしました。

BleepingComputer 経由