{"id":1109,"date":"2026-07-30T10:12:22","date_gmt":"2026-07-30T10:12:22","guid":{"rendered":"https:\/\/windowsreport.com\/no\/owareaper-backdoor-retter-seg-mot-microsoft-exchange-brukere\/"},"modified":"2026-07-30T10:12:22","modified_gmt":"2026-07-30T10:12:22","slug":"owareaper-backdoor-retter-seg-mot-microsoft-exchange-brukere","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/no\/owareaper-backdoor-retter-seg-mot-microsoft-exchange-brukere\/","title":{"rendered":"OWAReaper Backdoor retter seg mot Microsoft Exchange-brukere"},"content":{"rendered":"\n

Russiske statssponsede hackere utnytter et s\u00e5rbarhet i Microsoft Exchange Outlook Web Access for \u00e5 distribuere OWAReaper, en webmail-bakd\u00f8r designet for langvarig postbokstilgang.<\/p>\n\n\n\n

Gruppen, kjent som Laundry Bear og Void Blizzard, spores av Proofpoint<\/a> som TA488. M\u00e5lene deres omfatter offentlige organisasjoner i USA og Europa, samt telekommunikasjons-, finans-, hotell- og romfartsselskaper.<\/p>\n\n\n\n

Angrep utnytter CVE-2026-42897<\/h2>\n\n\n\n

Kampanjen utnytter CVE-2026-42897<\/a>, en cross-site scripting-s\u00e5rbarhet i Outlook Web Access.<\/p>\n\n\n\n

Svakheten lar ondsinnet JavaScript kj\u00f8re n\u00e5r en bruker \u00e5pner en spesiallaget e-post i OWA-leseruten. Angrepet krever ingen ondsinnet vedlegg, lenke eller ekstra klikk.<\/p>\n\n\n\n

Microsoft offentliggjorde s\u00e5rbarheten 14. mai. Tilgjengelig dokumentasjon tyder imidlertid p\u00e5 at Laundry Bear allerede hadde utnyttet den som et nulldagsangrep f\u00f8r offentliggj\u00f8ringen.<\/p>\n\n\n\n

Angriperne f\u00e5r med vilje e-postene til \u00e5 se uviktige ut. En mottaker kan \u00e5pne meldingen, avfeie den som s\u00f8ppelpost og unng\u00e5 \u00e5 rapportere den fordi den ikke inneholder noen \u00e5penbare ondsinnede lenker eller vedlegg.<\/p>\n\n\n\n

Meldingene skjuler JavaScript-lastere og Base64-kodede nyttelaster i URL-er for sosiale medieikoner. Den ondsinnede dataen vises etter #<\/code>-tegnet, noe som gj\u00f8r e-posten vanskeligere \u00e5 identifisere som et angrep.<\/p>\n\n\n\n

OWAReaper fjerner bevis og samler inn p\u00e5loggingsinformasjon<\/h3>\n\n\n\n

OWAReaper opererer utelukkende i Outlook Web Access-leseruten. N\u00e5r den kj\u00f8res, overskriver bakd\u00f8ren den opprinnelige e-posten p\u00e5 Exchange-serveren og fjerner spor av utnyttelsen.<\/p>\n\n\n\n

Deretter samler den inn informasjon om offeret, inkludert e-postadresse, brukernavn og Outlook-konfigurasjonsdetaljer.<\/p>\n\n\n\n

Skadevaren oppretter ogs\u00e5 usynlige nettleserelementer som pr\u00f8ver \u00e5 fange opp p\u00e5loggingsinformasjon som automatisk fylles inn av en passordbehandler eller nettleserens autofullf\u00f8r-funksjon.<\/p>\n\n\n\n

OWAReaper s\u00f8ker etter Outlook-tillegg med ReadWriteMailbox<\/code>-tillatelser. N\u00e5r den finner et passende tillegg, misbruker den denne tilgangen til \u00e5 stjele OAuth-tokens.<\/p>\n\n\n\n

Postbokstillatelser skaper vedvarende tilgang p\u00e5 serversiden<\/h3>\n\n\n\n

Bakd\u00f8ren kan tildele postbokstillatelser p\u00e5 Eier-niv\u00e5 til Exchange-standardbrukeren p\u00e5 tvers av alle e-postmapper. Denne konfigurasjonen kan tillate en angriper \u00e5 f\u00e5 tilgang til den kompromitterte postboksen via en annen autentisert konto i organisasjonen.<\/p>\n\n\n\n

Fordi Exchange lagrer disse tillatelsene p\u00e5 serveren, kan det hende at ominstallering av offerets datamaskin ikke fjerner angriperen. \u00c5 endre brukerens passord kan heller ikke blokkere tilgangen hvis de ondsinnede postbokstillatelsene og de stj\u00e5lne OAuth-tokenene fortsatt er aktive.<\/p>\n\n\n\n

OWAReaper skaper en annen utholdenhetsmekanisme via Outlook Web Access\u2019 frakoblede hurtigbuffer. Den aktiverer OWA-bufring og injiserer en ondsinnet iframe i meldinger som er lagret i nettleserens IndexedDB-database.<\/p>\n\n\n\n

Iframen kj\u00f8res hver gang offeret \u00e5pner en infisert melding fra den frakoblede hurtigbufferen. Denne metoden fungerer uavhengig av postbokstillatelsene p\u00e5 serversiden.<\/p>\n\n\n\n

Kommandoer skjult i GitHub og e-postmeldinger<\/h3>\n\n\n\n

OWAReaper st\u00f8tter to metoder for kommando og kontroll.<\/p>\n\n\n\n

Den f\u00f8rste metoden bruker krypterte kommandoer skjult i GitHub-commit-meldinger. Den andre baserer seg p\u00e5 spesialformaterte e-poster sendt direkte til den kompromitterte postboksen.<\/p>\n\n\n\n

For datatyveri sender skadevaren i hovedsak kryptert informasjon over HTTPS via domenenavn for bilde-innholdsleveringsnettverk. Den krypterer data som plasseres i foresp\u00f8rselsstier med AES-CTR.<\/p>\n\n\n\n

En sekund\u00e6r kanal sender stj\u00e5let informasjon direkte til en angriperstyrt server n\u00e5r prim\u00e6rmetoden mislykkes.<\/p>\n\n\n\n

Organisasjoner b\u00f8r gjennomg\u00e5 Exchange-tillatelser<\/h3>\n\n\n\n

Proofpoint publiserte et begrenset antall kompromitteringsindikatorer, inkludert ondsinnede domener og HTML som inneholder utnyttelsen og nyttelasten.<\/p>\n\n\n\n

Organisasjoner b\u00f8r installere Microsofts sikkerhetsoppdatering for CVE-2026-42897 og unders\u00f8ke Exchange-milj\u00f8ene sine for tegn p\u00e5 kompromittering. Administratorer b\u00f8r gjennomg\u00e5:<\/p>\n\n\n\n