OWAReaper-bakdør rammer Microsoft Exchange-brukere

Russiske statssponsede hackere utnytter et sårbarhet i Microsoft Exchange Outlook Web Access for å distribuere OWAReaper, en webmail-bakdør designet for langsiktig tilgang til postbokser.

Gruppen, kjent som Laundry Bear og Void Blizzard, spores av Proofpoint som TA488. Dens mål inkluderer offentlige organisasjoner i USA og Europa, samt telekommunikasjons-, finans-, hotell- og luftfartsselskaper.

Angrepet utnytter CVE-2026-42897

Kampanjen utnytter CVE-2026-42897, et sårbarhet for cross-site scripting i Outlook Web Access.

Sårbarheten gjør at ondsinnet JavaScript kan kjøres når en bruker åpner en spesiallaget e-post i OWA-leseruten. Angrepet krever ingen ondsinnet vedlegg, lenke eller ekstra klikk.

Microsoft offentliggjorde sårbarheten 14. mai. Tilgjengelig dokumentasjon tyder imidlertid på at Laundry Bear allerede hadde utnyttet den som et zero-day-angrep før offentliggjøringen.

Angriperne gjør bevisst at e-postene ser uviktige ut. En mottaker kan åpne meldingen, avfeie den som søppel og unngå å rapportere den fordi den ikke inneholder åpenbare ondsinnede lenker eller vedlegg.

Meldingene skjuler JavaScript-lastere og Base64-kodede nyttelaster inni URL-er til sosiale medier-ikoner. Den ondsinnede dataen vises etter #-tegnet, noe som gjør e-posten vanskeligere å identifisere som et angrep.

OWAReaper fjerner bevis og samler inn påloggingsinformasjon

OWAReaper opererer utelukkende inne i Outlook Web Access-leseruten. Når den kjører, omskriver bakdøren den opprinnelige e-posten på Exchange-serveren og fjerner bevis på utnyttelsen.

Deretter samler den inn informasjon om offeret, inkludert e-postadresse, brukernavn og konfigurasjonsdetaljer for Outlook.

Skadevaren lager også usynlige nettleserelementer som forsøker å fange opp påloggingsinformasjon som automatisk fylles inn av en passordbehandler eller nettleserens autofullfør-funksjon.

OWAReaper søker etter Outlook-tillegg med ReadWriteMailbox-tillatelser. Når den finner et passende tillegg, misbruker den denne tilgangen til å stjele OAuth-tokener.

Postbokstillatelser skaper persistens på serversiden

Bakdøren kan gi eiernivå-postbokstillatelser til Exchange Default-brukeren på tvers av alle e-postmapper. Denne konfigurasjonen kan tillate en angriper å få tilgang til den kompromitterte postboksen via en annen autentisert konto i organisasjonen.

Fordi Exchange lagrer disse tillatelsene på serveren, kan ikke reinstallering av offerets datamaskin nødvendigvis fjerne angriperen. Å endre brukerens passord kan også mislykkes i å blokkere tilgangen hvis de ondsinnede postbokstillatelsene og stjålne OAuth-tokener forblir aktive.

OWAReaper skaper en annen persistensmekanisme gjennom Outlook Web Access’ frakoblede hurtigbuffer. Den aktiverer OWA-hurtigbufring og injiserer en ondsinnet iframe i meldinger som er lagret i nettleserens IndexedDB-database.

Iframen kjøres hver gang offeret åpner en forgiftet melding fra den frakoblede hurtigbufferen. Denne metoden fungerer uavhengig av postbokstillatelsene på serversiden.

Kommandoer skjult i GitHub- og e-postmeldinger

OWAReaper støtter to kommando-og-kontroll-metoder.

Den første metoden bruker krypterte kommandoer skjult i GitHub commit-meldinger. Den andre er avhengig av spesialformaterte e-poster sendt direkte til den kompromitterte postboksen.

For datatyveri sender skadevaren primært kryptert informasjon over HTTPS gjennom domener for innholdsleveringsnettverk for bilder. Den krypterer data plassert i forespørselsstier med AES-CTR.

En sekundær kanal sender stjålet informasjon direkte til en angriperstyrt server når hovedmetoden mislykkes.

Organisasjoner bør gjennomgå Exchange-tillatelser

Proofpoint publiserte et begrenset antall kompromissindikatorer, inkludert ondsinnede domener og HTML som inneholder utnyttelsen og nyttelasten.

Organisasjoner bør installere Microsofts sikkerhetsoppdatering for CVE-2026-42897 og inspisere Exchange-miljøene sine for tegn på kompromittering. Administratorer bør gjennomgå:

• Postbokstillatelser tildelt Default-brukere
• Outlook-tillegg med omfattende postbokstilgang
• Mistenkelig aktivitet med OAuth-tokener
• Uvanlige GitHub API-forespørsler
• Potensielt forgiftede meldinger lagret i OWA-hurtigbuffere

Tilbakestilling av passord og reinstallering av enheter fjerner kanskje ikke OWAReaper fullstendig fordi angriperne kan opprettholde tilgang gjennom serverside-tillatelser og hurtigbufrede meldinger fra frakoblet modus.

I andre sikkerhetsnyheter har hackere blitt oppdaget i å bruke hotell-Wi-Fi for å stjele Microsoft 365-kontoer, mens Chaos-ransomware bruker msaRAT for å skjule trafikk i Chrome og Edge.

For å møte nye cybertrusler har Microsoft også lansert den nye MAI-Cyber-1-Flash-modellen.

Via BleepingComputer