OWAReaper バックドアが Microsoft Exchange ユーザーを標的に

ロシアの国家支援ハッカーが、Microsoft Exchange Outlook Web Access の脆弱性を悪用し、長期的なメールボックス アクセスを目的とした Web メール バックドア「OWAReaper」を展開しています。

このグループは「Laundry Bear」や「Void Blizzard」として知られ、Proofpoint によって TA488 として追跡されています。標的には、米国および欧州の政府機関のほか、通信、金融、ホスピタリティ、航空宇宙企業が含まれます。

CVE-2026-42897 を悪用した攻撃

このキャンペーンは、Outlook Web Access におけるクロスサイト スクリプティングの脆弱性である CVE-2026-42897 を悪用します。

この脆弱性により、ユーザーが OWA の閲覧ウィンドウで細工された電子メールを開くと、悪意のある JavaScript が実行されます。この攻撃には、悪意のある添付ファイル、リンク、または追加のクリックは必要ありません。

Microsoft は 5 月 14 日にこの脆弱性を公表しました。しかし、入手可能な証拠は、Laundry Bear が公表前に既にゼロデイとしてこれを悪用していたことを示しています。

攻撃者は、電子メールを意図的に重要でないように見せかけます。受信者はメッセージを開き、それを迷惑メールとして無視し、明らかな悪意のあるリンクや添付ファイルが含まれていないため報告しない可能性があります。

これらのメッセージは、ソーシャル メディア アイコンの URL 内に JavaScript ローダーと Base64 エンコードされたペイロードを隠します。悪意のあるデータは # 文字の後に現れるため、電子メールを攻撃として特定するのが難しくなります。

OWAReaper が証拠を削除し、資格情報を収集

OWAReaper は完全に Outlook Web Access の閲覧ウィンドウ内で動作します。バックドアが実行されると、Exchange サーバー上の元の電子メールを書き換え、エクスプロイトの痕跡を削除します。

その後、電子メール アドレス、ユーザー名、Outlook の構成詳細など、被害者に関する情報を収集します。

このマルウェアは、パスワード マネージャーやブラウザーのオートフィル機能によって自動的に入力された資格情報をキャプチャしようとする、目に見えないブラウザ要素も作成します。

OWAReaper は、ReadWriteMailbox アクセス許可を持つ Outlook アドインを検索します。適切なアドインを見つけると、そのアクセス権を悪用して OAuth トークンを盗みます。

メールボックス アクセス許可がサーバー側の永続性を生み出す

このバックドアは、すべてのメール フォルダーにわたり、Exchange の Default ユーザーに所有者レベルのメールボックス アクセス許可を付与できます。この構成により、攻撃者は組織内の別の認証済みアカウントを通じて、侵害されたメールボックスにアクセスできる可能性があります。

Exchange はこれらのアクセス許可をサーバーに保存するため、被害者のコンピューターを再インストールしても攻撃者を削除できない可能性があります。悪意のあるメールボックス アクセス許可と盗まれた OAuth トークンがアクティブなままである場合、ユーザーのパスワードを変更してもアクセスをブロックできない可能性があります。

OWAReaper は、Outlook Web Access のオフライン キャッシュを通じて別の永続化メカニズムを作成します。OWA キャッシュを有効にし、ブラウザーの IndexedDB データベースに保存されたメッセージに悪意のある iframe を注入します。

被害者がオフライン キャッシュから細工されたメッセージを開くたびに、iframe が実行されます。この方法は、サーバー側のメールボックス アクセス許可とは別に動作します。

GitHub と電子メール メッセージに隠されたコマンド

OWAReaper は、2 つのコマンド & コントロール方式をサポートしています。

1 つ目の方法は、GitHub のコミット メッセージ内に隠された暗号化コマンドを使用します。2 つ目は、侵害されたメールボックスに直接送信される、特別にフォーマットされた電子メールに依存します。

データの窃取には、主に画像コンテンツ配信ネットワーク (CDN) ドメインを介して HTTPS 経由で暗号化された情報を送信します。リクエスト パス内に配置されたデータを AES-CTR で暗号化します。

セカンダリ チャネルは、主要な方法が失敗した場合に、盗んだ情報を攻撃者の制御するサーバーに直接送信します。

組織は Exchange のアクセス許可を確認すべき

Proofpoint は、悪意のあるドメインやエクスプロイトとペイロードを含む HTML など、限定的な数の侵害の痕跡 (IoC) を公開しました。

組織は、CVE-2026-42897 に対する Microsoft のセキュリティ更新プログラムをインストールし、Exchange 環境に侵害の兆候がないか調査する必要があります。管理者は以下を確認する必要があります。

• Default ユーザーに割り当てられたメールボックス アクセス許可
• 広範なメールボックス アクセス権を持つ Outlook アドイン
• 不審な OAuth トークン アクティビティ
• 異常な GitHub API リクエスト
• OWA キャッシュに保存された、改ざんされた可能性のあるメッセージ

攻撃者はサーバー側のアクセス許可とオフラインでキャッシュされたメッセージを通じてアクセスを維持できるため、パスワードのリセットやデバイスの再インストールでは OWAReaper を完全に削除できない可能性があります。

他のセキュリティニュースでは、ハッカーがホテルの Wi-Fi を使用して Microsoft 365 アカウントを盗み出す手口が発見され、Chaos ランサムウェアは Chrome と Edge でトラフィックを隠すために msaRAT を使用しています。

新たなサイバー脅威に対応するため、Microsoft は新しい MAI-Cyber-1-Flash モデルもリリースしました。

BleepingComputer 経由