{"id":257,"date":"2026-07-30T10:08:30","date_gmt":"2026-07-30T10:08:30","guid":{"rendered":"https:\/\/windowsreport.com\/nl\/owareaper-backdoor-richt-zich-op-microsoft-exchange-gebruikers-2\/"},"modified":"2026-07-30T10:08:30","modified_gmt":"2026-07-30T10:08:30","slug":"owareaper-backdoor-richt-zich-op-microsoft-exchange-gebruikers-2","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/nl\/owareaper-backdoor-richt-zich-op-microsoft-exchange-gebruikers-2\/","title":{"rendered":"OWAReaper Backdoor richt zich op Microsoft Exchange-gebruikers"},"content":{"rendered":"\n

Door de Russische staat gesponsorde hackers maken misbruik van een kwetsbaarheid in Microsoft Exchange Outlook Web Access om OWAReaper te implementeren, een webmail-backdoor die is ontworpen voor langdurige toegang tot postvakken.<\/p>\n\n\n\n

De groep, bekend als Laundry Bear en Void Blizzard, wordt door Proofpoint<\/a> gevolgd als TA488. Tot de doelwitten behoren overheidsorganisaties in de Verenigde Staten en Europa, evenals telecommunicatie-, financi\u00eble, horeca- en luchtvaartbedrijven.<\/p>\n\n\n\n

Aanval maakt misbruik van CVE-2026-42897<\/h2>\n\n\n\n

De campagne maakt misbruik van CVE-2026-42897<\/a>, een cross-site scripting-kwetsbaarheid in Outlook Web Access.<\/p>\n\n\n\n

Door de fout kan schadelijke JavaScript worden uitgevoerd wanneer een gebruiker een speciaal ontworpen e-mail in het OWA-leesvenster opent. Voor de aanval zijn geen schadelijke bijlage, koppeling of extra klik vereist.<\/p>\n\n\n\n

Microsoft heeft de kwetsbaarheid op 14 mei bekendgemaakt. Beschikbaar bewijs wijst er echter op dat Laundry Bear er al misbruik van had gemaakt als zero-day v\u00f3\u00f3r de bekendmaking.<\/p>\n\n\n\n

De aanvallers laten de e-mails er bewust onbelangrijk uitzien. Een ontvanger kan het bericht openen, het als ongewenst afdoen en ervan afzien het te melden omdat het geen duidelijke schadelijke koppelingen of bijlagen bevat.<\/p>\n\n\n\n

De berichten verbergen JavaScript-loaders en Base64-gecodeerde payloads in URL’s van social media-pictogrammen. De schadelijke gegevens verschijnen na het #<\/code>-teken, waardoor de e-mail moeilijker als aanval te herkennen is.<\/p>\n\n\n\n

OWAReaper verwijdert bewijsmateriaal en verzamelt inloggegevens<\/h3>\n\n\n\n

OWAReaper werkt volledig binnen het leesvenster van Outlook Web Access. Na uitvoering herschrijft de backdoor de oorspronkelijke e-mail op de Exchange-server en verwijdert het bewijsmateriaal van de exploit.<\/p>\n\n\n\n

Vervolgens verzamelt het informatie over het slachtoffer, waaronder e-mailadres, gebruikersnaam en configuratiedetails van Outlook.<\/p>\n\n\n\n

De malware cre\u00ebert ook onzichtbare browser-elementen die proberen inloggegevens te onderscheppen die automatisch worden ingevoerd door een wachtwoordbeheerder of de functie voor automatisch invullen van de browser.<\/p>\n\n\n\n

OWAReaper zoekt naar Outlook-invoegtoepassingen met ReadWriteMailbox<\/code>-machtigingen. Wanneer het een geschikte invoegtoepassing vindt, misbruikt het die toegang om OAuth-tokens te stelen.<\/p>\n\n\n\n

Postvakmachtigingen cre\u00ebren persistentie aan serverzijde<\/h3>\n\n\n\n

De backdoor kan eigenaarsmachtigingen voor het postvak toekennen aan de Exchange Default-gebruiker voor elke e-mailmap. Deze configuratie kan een aanvaller in staat stellen het gecompromitteerde postvak te openen via een ander geverifieerd account binnen de organisatie.<\/p>\n\n\n\n

Omdat Exchange deze machtigingen op de server opslaat, kan het opnieuw installeren van de computer van het slachtoffer de aanvaller mogelijk niet verwijderen. Ook het wijzigen van het wachtwoord van de gebruiker kan de toegang niet blokkeren als de schadelijke postvakmachtigingen en gestolen OAuth-tokens actief blijven.<\/p>\n\n\n\n

OWAReaper cre\u00ebert een ander persistentiemechanisme via de offline cache van Outlook Web Access. Het schakelt OWA-caching in en injecteert een schadelijke iframe in berichten die zijn opgeslagen in de IndexedDB-database van de browser.<\/p>\n\n\n\n

De iframe wordt uitgevoerd telkens wanneer het slachtoffer een besmet bericht opent vanuit de offline cache. Deze methode werkt onafhankelijk van de postvakmachtigingen aan de serverzijde.<\/p>\n\n\n\n

Opdrachten verborgen in GitHub- en e-mailberichten<\/h3>\n\n\n\n

OWAReaper ondersteunt twee methoden voor command-and-control.<\/p>\n\n\n\n

De eerste methode maakt gebruik van versleutelde opdrachten die zijn verborgen in GitHub-commitberichten. De tweede methode is afhankelijk van speciaal opgemaakte e-mails die rechtstreeks naar het gecompromitteerde postvak worden verzonden.<\/p>\n\n\n\n

Voor gegevensdiefstal verzendt de malware voornamelijk versleutelde informatie via HTTPS via domeinen van content delivery networks voor afbeeldingen. Het versleutelt gegevens die in aanvraagpaden worden geplaatst met AES-CTR.<\/p>\n\n\n\n

Een secundair kanaal verzendt gestolen informatie rechtstreeks naar een door de aanvaller beheerde server wanneer de primaire methode faalt.<\/p>\n\n\n\n

Organisaties moeten Exchange-machtigingen controleren<\/h3>\n\n\n\n

Proofpoint heeft een beperkt aantal indicators of compromise gepubliceerd, waaronder schadelijke domeinen en HTML die de exploit en payload bevatten.<\/p>\n\n\n\n

Organisaties moeten de beveiligingsupdate van Microsoft voor CVE-2026-42897 installeren en hun Exchange-omgevingen controleren op tekenen van compromittering. Beheerders moeten het volgende controleren:<\/p>\n\n\n\n