OWAReaper Backdoor richt zich op Microsoft Exchange-gebruikers

Door de Russische staat gesponsorde hackers maken misbruik van een kwetsbaarheid in Microsoft Exchange Outlook Web Access om OWAReaper te implementeren, een webmail-backdoor die is ontworpen voor langdurige toegang tot postvakken.

De groep, bekend als Laundry Bear en Void Blizzard, wordt door Proofpoint gevolgd als TA488. Tot de doelwitten behoren overheidsorganisaties in de Verenigde Staten en Europa, evenals telecommunicatie-, financiële, horeca- en luchtvaartbedrijven.

Aanval maakt misbruik van CVE-2026-42897

De campagne maakt misbruik van CVE-2026-42897, een cross-site scripting-kwetsbaarheid in Outlook Web Access.

Door de fout kan schadelijke JavaScript worden uitgevoerd wanneer een gebruiker een speciaal ontworpen e-mail in het OWA-leesvenster opent. Voor de aanval zijn geen schadelijke bijlage, koppeling of extra klik vereist.

Microsoft heeft de kwetsbaarheid op 14 mei bekendgemaakt. Beschikbaar bewijs wijst er echter op dat Laundry Bear er al misbruik van had gemaakt als zero-day vóór de bekendmaking.

De aanvallers laten de e-mails er bewust onbelangrijk uitzien. Een ontvanger kan het bericht openen, het als ongewenst afdoen en ervan afzien het te melden omdat het geen duidelijke schadelijke koppelingen of bijlagen bevat.

De berichten verbergen JavaScript-loaders en Base64-gecodeerde payloads in URL’s van social media-pictogrammen. De schadelijke gegevens verschijnen na het #-teken, waardoor de e-mail moeilijker als aanval te herkennen is.

OWAReaper verwijdert bewijsmateriaal en verzamelt inloggegevens

OWAReaper werkt volledig binnen het leesvenster van Outlook Web Access. Na uitvoering herschrijft de backdoor de oorspronkelijke e-mail op de Exchange-server en verwijdert het bewijsmateriaal van de exploit.

Vervolgens verzamelt het informatie over het slachtoffer, waaronder e-mailadres, gebruikersnaam en configuratiedetails van Outlook.

De malware creëert ook onzichtbare browser-elementen die proberen inloggegevens te onderscheppen die automatisch worden ingevoerd door een wachtwoordbeheerder of de functie voor automatisch invullen van de browser.

OWAReaper zoekt naar Outlook-invoegtoepassingen met ReadWriteMailbox-machtigingen. Wanneer het een geschikte invoegtoepassing vindt, misbruikt het die toegang om OAuth-tokens te stelen.

Postvakmachtigingen creëren persistentie aan serverzijde

De backdoor kan eigenaarsmachtigingen voor het postvak toekennen aan de Exchange Default-gebruiker voor elke e-mailmap. Deze configuratie kan een aanvaller in staat stellen het gecompromitteerde postvak te openen via een ander geverifieerd account binnen de organisatie.

Omdat Exchange deze machtigingen op de server opslaat, kan het opnieuw installeren van de computer van het slachtoffer de aanvaller mogelijk niet verwijderen. Ook het wijzigen van het wachtwoord van de gebruiker kan de toegang niet blokkeren als de schadelijke postvakmachtigingen en gestolen OAuth-tokens actief blijven.

OWAReaper creëert een ander persistentiemechanisme via de offline cache van Outlook Web Access. Het schakelt OWA-caching in en injecteert een schadelijke iframe in berichten die zijn opgeslagen in de IndexedDB-database van de browser.

De iframe wordt uitgevoerd telkens wanneer het slachtoffer een besmet bericht opent vanuit de offline cache. Deze methode werkt onafhankelijk van de postvakmachtigingen aan de serverzijde.

Opdrachten verborgen in GitHub- en e-mailberichten

OWAReaper ondersteunt twee methoden voor command-and-control.

De eerste methode maakt gebruik van versleutelde opdrachten die zijn verborgen in GitHub-commitberichten. De tweede methode is afhankelijk van speciaal opgemaakte e-mails die rechtstreeks naar het gecompromitteerde postvak worden verzonden.

Voor gegevensdiefstal verzendt de malware voornamelijk versleutelde informatie via HTTPS via domeinen van content delivery networks voor afbeeldingen. Het versleutelt gegevens die in aanvraagpaden worden geplaatst met AES-CTR.

Een secundair kanaal verzendt gestolen informatie rechtstreeks naar een door de aanvaller beheerde server wanneer de primaire methode faalt.

Organisaties moeten Exchange-machtigingen controleren

Proofpoint heeft een beperkt aantal indicators of compromise gepubliceerd, waaronder schadelijke domeinen en HTML die de exploit en payload bevatten.

Organisaties moeten de beveiligingsupdate van Microsoft voor CVE-2026-42897 installeren en hun Exchange-omgevingen controleren op tekenen van compromittering. Beheerders moeten het volgende controleren:

• Postvakmachtigingen toegewezen aan Default-gebruikers
• Outlook-invoegtoepassingen met uitgebreide postvaktoegang
• Verdachte OAuth-tokenactiviteit
• Ongebruikelijke GitHub API-aanvragen
• Mogelijk besmette berichten opgeslagen in OWA-caches

Het opnieuw instellen van wachtwoorden en het opnieuw installeren van apparaten kan OWAReaper mogelijk niet volledig verwijderen omdat de aanvallers toegang kunnen behouden via machtigingen aan de serverzijde en offline gecachte berichten.

In ander beveiligingsnieuws is ontdekt dat hackers hotel-Wi-Fi gebruiken om Microsoft 365-accounts te stelen, terwijl Chaos-ransomware msaRAT gebruikt om verkeer in Chrome en Edge te verbergen.

Om te reageren op opkomende cyberdreigingen heeft Microsoft ook het nieuwe MAI-Cyber-1-Flash-model uitgebracht.

Via BleepingComputer