{"id":253,"date":"2026-07-30T10:07:01","date_gmt":"2026-07-30T10:07:01","guid":{"rendered":"https:\/\/windowsreport.com\/nl\/owareaper-backdoor-richt-zich-op-microsoft-exchange-gebruikers\/"},"modified":"2026-07-30T10:07:01","modified_gmt":"2026-07-30T10:07:01","slug":"owareaper-backdoor-richt-zich-op-microsoft-exchange-gebruikers","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/nl\/owareaper-backdoor-richt-zich-op-microsoft-exchange-gebruikers\/","title":{"rendered":"OWAReaper Backdoor richt zich op Microsoft Exchange-gebruikers"},"content":{"rendered":"\n

Door de Russische staat gesponsorde hackers maken misbruik van een kwetsbaarheid in Microsoft Exchange Outlook Web Access om OWAReaper te implementeren, een webmail-backdoor die is ontworpen voor langdurige toegang tot postvakken.<\/p>\n\n\n\n

De groep, bekend als Laundry Bear en Void Blizzard, wordt door Proofpoint<\/a> bijgehouden als TA488. Tot de doelwitten behoren overheidsorganisaties in de Verenigde Staten en Europa, evenals telecommunicatie-, financi\u00eble, horeca- en lucht- en ruimtevaartbedrijven.<\/p>\n\n\n\n

Aanval maakt misbruik van CVE-2026-42897<\/h2>\n\n\n\n

De campagne maakt misbruik van CVE-2026-42897<\/a>, een cross-site scripting-kwetsbaarheid in Outlook Web Access.<\/p>\n\n\n\n

Door het beveiligingslek kan schadelijke JavaScript worden uitgevoerd wanneer een gebruiker een speciaal vervaardigd e-mailbericht opent in het OWA-leesvenster. Voor de aanval is geen schadelijke bijlage, koppeling of extra klik nodig.<\/p>\n\n\n\n

Microsoft heeft de kwetsbaarheid op 14 mei bekendgemaakt. Beschikbare aanwijzingen geven echter aan dat Laundry Bear deze al als zero-day had misbruikt v\u00f3\u00f3r de bekendmaking.<\/p>\n\n\n\n

De aanvallers laten de e-mailberichten er bewust onbelangrijk uitzien. Een ontvanger kan het bericht openen, het als rommel afdoen en het niet melden omdat het geen duidelijke schadelijke koppelingen of bijlagen bevat.<\/p>\n\n\n\n

De berichten verbergen JavaScript-loaders en Base64-gecodeerde payloads in URL’s van social media-pictogrammen. De schadelijke gegevens verschijnen na het #<\/code>-teken, waardoor het e-mailbericht moeilijker als aanval te herkennen is.<\/p>\n\n\n\n

OWAReaper verwijdert bewijsmateriaal en verzamelt inloggegevens<\/h3>\n\n\n\n

OWAReaper werkt volledig binnen het Outlook Web Access-leesvenster. Zodra deze wordt uitgevoerd, herschrijft de backdoor het oorspronkelijke e-mailbericht op de Exchange-server en verwijdert het bewijs van de exploit.<\/p>\n\n\n\n

Vervolgens verzamelt het informatie over het slachtoffer, waaronder e-mailadres, gebruikersnaam en configuratiegegevens van Outlook.<\/p>\n\n\n\n

De malware maakt ook onzichtbare browserelementen die proberen inloggegevens te onderscheppen die automatisch worden ingevuld door een wachtwoordbeheerder of de functie voor automatisch aanvullen van de browser.<\/p>\n\n\n\n

OWAReaper zoekt naar Outlook-invoegtoepassingen met de machtiging ReadWriteMailbox<\/code>. Wanneer het een geschikte invoegtoepassing vindt, misbruikt het die toegang om OAuth-tokens te stelen.<\/p>\n\n\n\n

Postvakmachtigingen cre\u00ebren persistentie aan de serverzijde<\/h3>\n\n\n\n

De backdoor kan machtigingen op eigenaarsniveau voor postvakken verlenen aan de standaardgebruiker van Exchange voor elke e-mailmap. Via deze configuratie kan een aanvaller mogelijk toegang krijgen tot het gecompromitteerde postvak via een ander geverifieerd account binnen de organisatie.<\/p>\n\n\n\n

Omdat Exchange deze machtigingen op de server opslaat, verwijdert het opnieuw installeren van de computer van het slachtoffer de aanvaller mogelijk niet. Het wijzigen van het wachtwoord van de gebruiker kan de toegang ook niet blokkeren als de schadelijke postvakmachtigingen en gestolen OAuth-tokens actief blijven.<\/p>\n\n\n\n

OWAReaper cre\u00ebert een ander persistentiemechanisme via de offline cache van Outlook Web Access. Het schakelt OWA-caching in en injecteert een schadelijke iframe in berichten die zijn opgeslagen in de IndexedDB-database van de browser.<\/p>\n\n\n\n

De iframe wordt uitgevoerd telkens wanneer het slachtoffer een vergiftigd bericht opent vanuit de offline cache. Deze methode werkt los van de postvakmachtigingen aan de serverzijde.<\/p>\n\n\n\n

Opdrachten verborgen in GitHub en e-mailberichten<\/h3>\n\n\n\n

OWAReaper ondersteunt twee methoden voor command-and-control.<\/p>\n\n\n\n

De eerste methode maakt gebruik van versleutelde opdrachten die verborgen zijn in GitHub-commitberichten. De tweede is afhankelijk van speciaal opgemaakte e-mailberichten die rechtstreeks naar het gecompromitteerde postvak worden verzonden.<\/p>\n\n\n\n

Voor gegevensdiefstal verzendt de malware voornamelijk versleutelde informatie via HTTPS via domeinen van content delivery networks voor afbeeldingen. Het versleutelt gegevens die in aanvraagpaden zijn geplaatst met AES-CTR.<\/p>\n\n\n\n

Een secundair kanaal verzendt gestolen informatie rechtstreeks naar een door de aanvaller beheerde server wanneer de primaire methode mislukt.<\/p>\n\n\n\n

Organisaties moeten Exchange-machtigingen controleren<\/h3>\n\n\n\n

Proofpoint heeft een beperkt aantal indicatoren van inbreuk gepubliceerd, waaronder schadelijke domeinen en HTML die de exploit en payload bevatten.<\/p>\n\n\n\n

Organisaties moeten de beveiligingsupdate van Microsoft voor CVE-2026-42897 installeren en hun Exchange-omgevingen controleren op tekenen van inbreuk. Beheerders moeten het volgende controleren:<\/p>\n\n\n\n