OWAReaperバックドアがMicrosoft Exchangeユーザーを標的に

ロシアの国家支援ハッカーが、長期のメールボックスアクセスを目的としたウェブメールバックドア「OWAReaper」を展開するため、Microsoft Exchange Outlook Web Access の脆弱性を悪用しています。

Laundry Bear および Void Blizzard として知られるこのグループは、Proofpoint によって TA488 として追跡されています。標的には、米国や欧州の政府機関のほか、通信、金融、ホスピタリティ、航空宇宙企業が含まれます。

攻撃は CVE-2026-42897 を悪用

このキャンペーンは、Outlook Web Access におけるクロスサイトスクリプティングの脆弱性 CVE-2026-42897 を悪用します。

この脆弱性により、ユーザーが特別に細工された電子メールを OWA の閲覧ウィンドウで開くと、悪意のある JavaScript が実行される可能性があります。この攻撃には、悪意のある添付ファイル、リンク、追加のクリックは必要ありません。

Microsoft は 5 月 14 日にこの脆弱性を公開しました。しかし、入手可能な証拠によると、Laundry Bear は公開前にすでにゼロデイとして悪用していたことが示されています。

攻撃者は、わざとメールを重要でないように見せかけます。受信者はメッセージを開き、迷惑メールとして無視し、明らかな悪意のあるリンクや添付ファイルが含まれていないため報告を怠る可能性があります。

メッセージは、ソーシャルメディアのアイコン URL 内に JavaScript ローダーと Base64 エンコードされたペイロードを隠しています。悪意のあるデータは # 文字の後に表示されるため、メールの攻撃特定がより困難になります。

OWAReaper は証拠を削除し、資格情報を収集

OWAReaper は完全に Outlook Web Access の閲覧ウィンドウ内で動作します。バックドアが実行されると、Exchange サーバー上の元のメールを書き換え、エクスプロイトの痕跡を削除します。

その後、電子メールアドレス、ユーザー名、Outlook 設定の詳細など、被害者に関する情報を収集します。

また、マルウェアは、パスワードマネージャーやブラウザーの自動入力機能によって自動的に入力された資格情報を取得しようとする、目に見えないブラウザ要素を作成します。

OWAReaper は、ReadWriteMailbox 権限を持つ Outlook アドインを検索します。適切なアドインが見つかると、そのアクセス権を悪用して OAuth トークンを盗みます。

メールボックス権限がサーバー側の永続性を生み出す

このバックドアは、すべてのメールフォルダーにわたって Exchange の Default ユーザーに所有者レベルのメールボックス権限を付与することができます。この設定により、攻撃者は組織内の別の認証済みアカウントを通じて、侵害されたメールボックスにアクセスできる可能性があります。

これらの権限は Exchange サーバーに保存されるため、被害者のコンピューターを再インストールしても攻撃者を排除できない可能性があります。悪意のあるメールボックス権限と盗まれた OAuth トークンが有効なままである場合、ユーザーのパスワードを変更してもアクセスをブロックできない可能性があります。

OWAReaper は、Outlook Web Access のオフラインキャッシュを通じて別の永続化メカニズムを作成します。OWA キャッシュを有効にし、ブラウザーの IndexedDB データベースに保存されたメッセージに悪意のある iframe を注入します。

この iframe は、被害者がオフラインキャッシュから汚染されたメッセージを開くたびに実行されます。この方法は、サーバー側のメールボックス権限とは別に機能します。

GitHub および電子メールメッセージに隠されたコマンド

OWAReaper は、2 つのコマンドアンドコントロール方式をサポートしています。

1 つ目の方法は、GitHub のコミットメッセージ内に隠された暗号化コマンドを使用します。2 つ目は、侵害されたメールボックスに直接送信される特別にフォーマットされた電子メールに依存します。

データ窃取のために、マルウェアは主に画像配信ネットワークのドメインを介して HTTPS 経由で暗号化された情報を送信します。リクエストパスに配置されたデータを AES-CTR で暗号化します。

プライマリ方式が失敗した場合、二次チャネルは盗まれた情報を攻撃者が制御するサーバーに直接送信します。

組織は Exchange の権限を確認すべき

Proofpoint は、悪意のあるドメインやエクスプロイトとペイロードを含む HTML など、限定的な数の侵害指標を公開しました。

組織は、CVE-2026-42897 向けの Microsoft セキュリティ更新プログラムをインストールし、Exchange 環境に侵害の兆候がないか調査する必要があります。管理者は以下を確認する必要があります。

• Default ユーザーに割り当てられたメールボックス権限
• 広範なメールボックスアクセスを持つ Outlook アドイン
• 疑わしい OAuth トークンアクティビティ
• 異常な GitHub API リクエスト
• OWA キャッシュに保存された潜在的に汚染されたメッセージ

パスワードのリセットやデバイスの再インストールでは、攻撃者がサーバー側の権限とオフラインキャッシュされたメッセージを通じてアクセスを維持できるため、OWAReaper を完全に削除できない可能性があります。

他のセキュリティニュースでは、ホテルの Wi-Fi を使用して Microsoft 365 アカウントを盗むハッカーが発見されており、Chaos ランサムウェアが msaRAT を使用して Chrome と Edge のトラフィックを隠蔽しています。

新たなサイバー脅威に対応するため、Microsoft は新しい MAI-Cyber-1-Flash モデルもリリースしました。

BleepingComputer 経由