OWAReaper bakdør retter seg mot Microsoft Exchange-brukere

Russiske statsstøttede hackere utnytter et sårbarhet i Microsoft Exchange Outlook Web Access for å distribuere OWAReaper, en webmail-bakdør utformet for langvarig tilgang til postbokser.

Gruppen, kjent som Laundry Bear og Void Blizzard, spores av Proofpoint som TA488. Målene inkluderer offentlige organisasjoner i USA og Europa, samt telekommunikasjons-, finans-, hotell- og luftfartsselskaper.

Angrepet utnytter CVE-2026-42897

Kampanjen utnytter CVE-2026-42897, et sårbarhet for cross-site scripting i Outlook Web Access.

Sårbarheten gjør at ondsinnet JavaScript kan kjøre når en bruker åpner en spesiallaget e-post i OWA-leseruten. Angrepet krever ingen ondsinnede vedlegg, lenker eller ekstra klikk.

Microsoft offentliggjorde sårbarheten 14. mai. Tilgjengelige bevis tyder imidlertid på at Laundry Bear allerede hadde utnyttet den som et zero-day-angrep før offentliggjøringen.

Angriperne får bevisst e-postene til å se uviktige ut. En mottaker kan åpne meldingen, avfeie den som søppelpost og unngå å rapportere den fordi den ikke inneholder åpenbare ondsinnede lenker eller vedlegg.

Meldingene skjuler JavaScript-lastere og Base64-kodede nyttelaster i URL-er for sosiale medier-ikoner. De ondsinnede dataene vises etter #-tegnet, noe som gjør e-posten vanskeligere å identifisere som et angrep.

OWAReaper fjerner bevis og samler inn påloggingsinformasjon

OWAReaper opererer utelukkende i Outlook Web Access-leseruten. Når den kjøres, omskriver bakdøren den opprinnelige e-posten på Exchange-serveren og fjerner bevis på utnyttelsen.

Den samler deretter inn informasjon om offeret, inkludert e-postadresse, brukernavn og Outlook-konfigurasjonsdetaljer.

Skadevaren oppretter også usynlige nettleserelementer som prøver å fange opp påloggingsinformasjon som automatisk fylles inn av en passordbehandler eller nettleserens autofullfør-funksjon.

OWAReaper søker etter Outlook-tillegg med ReadWriteMailbox-tillatelser. Når den finner et passende tillegg, misbruker den denne tilgangen til å stjele OAuth-tokener.

Postbokstillatelser skaper vedvarende tilgang på serversiden

Bakdøren kan gi eiertilgang til postboksen for Exchange Standardbruker på tvers av alle e-postmapper. Denne konfigurasjonen kan tillate en angriper å få tilgang til den kompromitterte postboksen via en annen autentisert konto i organisasjonen.

Fordi Exchange lagrer disse tillatelsene på serveren, kan ominstallering av offerets datamaskin ikke fjerne angriperen. Å endre brukerens passord kan også mislykkes i å blokkere tilgang hvis de ondsinnede postbokstillatelsene og de stjålne OAuth-tokenene forblir aktive.

OWAReaper oppretter en annen mekanisme for vedvarende tilgang via Outlook Web Access sin frakoblede hurtigbuffer. Den aktiverer OWA-hurtigbufring og injiserer en ondsinnet iframe i meldinger som er lagret i nettleserens IndexedDB-database.

Iframen kjøres hver gang offeret åpner en infisert melding fra den frakoblede hurtigbufferen. Denne metoden fungerer uavhengig av postbokstillatelsene på serversiden.

Kommandoer skjult i GitHub og e-postmeldinger

OWAReaper støtter to metoder for kommando og kontroll.

Den første metoden bruker krypterte kommandoer skjult i GitHub commit-meldinger. Den andre er avhengig av spesialformaterte e-poster sendt direkte til den kompromitterte postboksen.

For datatyveri sender skadevaren primært kryptert informasjon over HTTPS via domener for innholdsleveringsnettverk for bilder. Den krypterer data plassert i forespørselsstier med AES-CTR.

En sekundær kanal sender stjålet informasjon direkte til en angriperstyrt server når den primære metoden mislykkes.

Organisasjoner bør gjennomgå Exchange-tillatelser

Proofpoint har publisert et begrenset antall indikatorer for kompromittering, inkludert ondsinnede domener og HTML som inneholder utnyttelsen og nyttelasten.

Organisasjoner bør installere Microsofts sikkerhetsoppdatering for CVE-2026-42897 og undersøke Exchange-miljøene sine for tegn på kompromittering. Administratorer bør gjennomgå:

• Postbokstillatelser tilordnet standardbrukere
• Outlook-tillegg med omfattende postbokstilgang
• Mistenkelig OAuth-tokenaktivitet
• Uvanlige GitHub API-forespørsler
• Potensielt infiserte meldinger lagret i OWA-hurtigbuffere

Tilbakestilling av passord og ominstallering av enheter fjerner kanskje ikke OWAReaper fullstendig fordi angriperne kan opprettholde tilgang via serversidetillatelser og frakoblede hurtigbufrede meldinger.

I andre sikkerhetsnyheter har hackere blitt funnet å bruke hotell-Wi-Fi for å stjele Microsoft 365-kontoer, mens Chaos-ransomware bruker msaRAT til å skjule trafikk i Chrome og Edge.

For å svare på nye cybertrusler har Microsoft også lansert den nye MAI-Cyber-1-Flash-modellen.

Via BleepingComputer