{"id":1103,"date":"2026-07-30T10:09:51","date_gmt":"2026-07-30T10:09:51","guid":{"rendered":"https:\/\/windowsreport.com\/no\/owareaper-bakdor-retter-seg-mot-microsoft-exchange-brukere\/"},"modified":"2026-07-30T10:09:51","modified_gmt":"2026-07-30T10:09:51","slug":"owareaper-bakdor-retter-seg-mot-microsoft-exchange-brukere","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/no\/owareaper-bakdor-retter-seg-mot-microsoft-exchange-brukere\/","title":{"rendered":"OWAReaper-bakd\u00f8r retter seg mot Microsoft Exchange-brukere"},"content":{"rendered":"\n

Russiske statssponsede hackere utnytter en s\u00e5rbarhet i Microsoft Exchange Outlook Web Access for \u00e5 distribuere OWAReaper, en bakd\u00f8r for webmail designet for vedvarende tilgang til postbokser.<\/p>\n\n\n\n

Gruppen, kjent som Laundry Bear og Void Blizzard, blir sporet av Proofpoint<\/a> som TA488. M\u00e5lene omfatter offentlige organisasjoner i USA og Europa, samt telekommunikasjon, finans, gjestfrihet og luftfartsselskaper.<\/p>\n\n\n\n

Angrep utnytter CVE-2026-42897<\/h2>\n\n\n\n

Kampanjen utnytter CVE-2026-42897<\/a>, et s\u00e5rbarhet for cross-site scripting i Outlook Web Access.<\/p>\n\n\n\n

S\u00e5rbarheten gj\u00f8r det mulig for ondsinnet JavaScript \u00e5 kj\u00f8re n\u00e5r en bruker \u00e5pner en spesiallaget e-post i OWA-lesepanelet. Angrepet krever ingen ondsinnet vedlegg, lenke eller ekstra klikk.<\/p>\n\n\n\n

Microsoft offentliggjorde s\u00e5rbarheten 14. mai. Tilgjengelig informasjon tyder imidlertid p\u00e5 at Laundry Bear allerede hadde utnyttet den som et nulldagss\u00e5rbarhet f\u00f8r offentliggj\u00f8ringen.<\/p>\n\n\n\n

Angriperne gj\u00f8r e-postene bevisst lite viktige. En mottaker kan \u00e5pne meldingen, avfeie den som s\u00f8ppelpost og unng\u00e5 \u00e5 rapportere den fordi den ikke inneholder noen \u00e5penbare ondsinnede lenker eller vedlegg.<\/p>\n\n\n\n

Meldingene skjuler JavaScript-lastere og Base64-kodede nyttelaster inne i URL-er for ikoner for sosiale medier. Den ondsinnede dataen vises etter #<\/code>-tegnet, noe som gj\u00f8r e-posten vanskeligere \u00e5 identifisere som et angrep.<\/p>\n\n\n\n

OWAReaper fjerner spor og samler inn p\u00e5loggingsinformasjon<\/h3>\n\n\n\n

OWAReaper opererer utelukkende inne i Outlook Web Access’ lesepanel. N\u00e5r den utf\u00f8res, omskriver bakd\u00f8ren den opprinnelige e-posten p\u00e5 Exchange-serveren og fjerner spor av utnyttelsen.<\/p>\n\n\n\n

Den samler deretter inn informasjon om offeret, inkludert e-postadresse, brukernavn og detaljer om Outlook-konfigurasjonen.<\/p>\n\n\n\n

Skadevaren oppretter ogs\u00e5 usynlige nettleserelementer som pr\u00f8ver \u00e5 fange opp p\u00e5loggingsinformasjon som automatisk fylles inn av en passordbehandler eller nettleserens autofullf\u00f8r-funksjon.<\/p>\n\n\n\n

OWAReaper s\u00f8ker etter Outlook-tillegg med tillatelsen ReadWriteMailbox<\/code>. N\u00e5r den finner et passende tillegg, misbruker den denne tilgangen for \u00e5 stjele OAuth-tokener.<\/p>\n\n\n\n

Postbokstillatelser skaper vedvarende tilgang p\u00e5 tjenersiden<\/h3>\n\n\n\n

Bakd\u00f8ren kan gi eierniv\u00e5-postbokstillatelser til Exchange Default-brukeren p\u00e5 tvers av alle e-postmapper. Denne konfigurasjonen kan tillate en angriper \u00e5 f\u00e5 tilgang til den kompromitterte postboksen via en annen autentisert konto i organisasjonen.<\/p>\n\n\n\n

Fordi Exchange lagrer disse tillatelsene p\u00e5 tjeneren, kan det hende at ominstallering av offerets datamaskin ikke fjerner angriperen. Endring av brukerens passord kan ogs\u00e5 mislykkes i \u00e5 blokkere tilgangen hvis de ondsinnede postbokstillatelsene og stj\u00e5lne OAuth-tokenene forblir aktive.<\/p>\n\n\n\n

OWAReaper oppretter en annen vedvarende mekanisme via hurtigbufferen for Outlook Web Access i frakoblet modus. Den aktiverer OWA-hurtigbufring og legger inn et ondsinnet iframe-element i meldinger som er lagret i nettleserens IndexedDB-database.<\/p>\n\n\n\n

Iframen kj\u00f8res hver gang offeret \u00e5pner en forgiftet melding fra den frakoblede hurtigbufferen. Denne metoden fungerer uavhengig av postbokstillatelsene p\u00e5 tjenersiden.<\/p>\n\n\n\n

Kommandoer gjemt i GitHub og e-postmeldinger<\/h3>\n\n\n\n

OWAReaper st\u00f8tter to metoder for kommando og kontroll.<\/p>\n\n\n\n

Den f\u00f8rste metoden bruker krypterte kommandoer skjult i GitHub-commitmeldinger. Den andre er avhengig av spesialformaterte e-poster som sendes direkte til den kompromitterte postboksen.<\/p>\n\n\n\n

For datatyveri sender skadevaren hovedsakelig kryptert informasjon over HTTPS via domener for bildeinnholdsleveringsnettverk. Den krypterer data plassert i foresp\u00f8rselsbaner med AES-CTR.<\/p>\n\n\n\n

En sekund\u00e6r kanal sender stj\u00e5let informasjon direkte til en angriperstyrt tjener n\u00e5r den prim\u00e6re metoden mislykkes.<\/p>\n\n\n\n

Organisasjoner b\u00f8r gjennomg\u00e5 Exchange-tillatelser<\/h3>\n\n\n\n

Proofpoint har publisert et begrenset antall indikatorer p\u00e5 kompromittering, inkludert ondsinnede domener og HTML som inneholder utnyttelsen og nyttelasten.<\/p>\n\n\n\n

Organisasjoner b\u00f8r installere Microsofts sikkerhetsoppdatering for CVE-2026-42897 og unders\u00f8ke Exchange-milj\u00f8ene sine for tegn p\u00e5 kompromittering. Administratorer b\u00f8r gjennomg\u00e5:<\/p>\n\n\n\n