{"id":1111,"date":"2026-07-30T10:19:37","date_gmt":"2026-07-30T10:19:37","guid":{"rendered":"https:\/\/windowsreport.com\/no\/owareaper-backdoor-retter-seg-mot-microsoft-exchange-brukere-2\/"},"modified":"2026-07-30T10:19:37","modified_gmt":"2026-07-30T10:19:37","slug":"owareaper-backdoor-retter-seg-mot-microsoft-exchange-brukere-2","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/no\/owareaper-backdoor-retter-seg-mot-microsoft-exchange-brukere-2\/","title":{"rendered":"OWAReaper Backdoor retter seg mot Microsoft Exchange-brukere"},"content":{"rendered":"\n

Russiske statssponsede hackere utnytter et s\u00e5rbarhet i Microsoft Exchange Outlook Web Access for \u00e5 distribuere OWAReaper, en bakd\u00f8r for webmail designet for langsiktig tilgang til e-postbokser.<\/p>\n\n\n\n

Gruppen, kjent som Laundry Bear og Void Blizzard, spores av Proofpoint<\/a> som TA488. M\u00e5lene deres inkluderer myndighetsorganisasjoner i USA og Europa, samt telekommunikasjons-, finans-, gjestfrihets- og romfartsselskaper.<\/p>\n\n\n\n

Angrep utnytter CVE-2026-42897<\/h2>\n\n\n\n

Kampanjen utnytter CVE-2026-42897<\/a>, en s\u00e5rbarhet for cross-site scripting i Outlook Web Access.<\/p>\n\n\n\n

S\u00e5rbarheten gj\u00f8r det mulig for ondsinnet JavaScript \u00e5 kj\u00f8re n\u00e5r en bruker \u00e5pner en spesiallaget e-post i OWA-leseruten. Angrepet krever ingen ondsinnet vedlegg, lenke eller ekstra klikk.<\/p>\n\n\n\n

Microsoft kunngjorde s\u00e5rbarheten 14. mai. Tilgjengelig bevis tyder imidlertid p\u00e5 at Laundry Bear allerede hadde utnyttet den som en zero-day f\u00f8r kunngj\u00f8ringen.<\/p>\n\n\n\n

Angriperne gj\u00f8r bevisst e-postene til \u00e5 se uviktige ut. En mottaker kan \u00e5pne meldingen, avfeie den som s\u00f8ppel og unng\u00e5 \u00e5 rapportere den fordi den ikke inneholder \u00e5penbare ondsinnede lenker eller vedlegg.<\/p>\n\n\n\n

Meldingene skjuler JavaScript-lastere og Base64-kodede nyttelaster i URL-er for sosiale medier-ikoner. De ondsinnede dataene vises etter #<\/code>-tegnet, noe som gj\u00f8r e-posten vanskeligere \u00e5 identifisere som et angrep.<\/p>\n\n\n\n

OWAReaper fjerner bevis og samler inn p\u00e5loggingsinformasjon<\/h3>\n\n\n\n

OWAReaper opererer utelukkende inni Outlook Web Access-leseruten. N\u00e5r den kj\u00f8res, omskriver bakd\u00f8ren den opprinnelige e-posten p\u00e5 Exchange-serveren og fjerner bevis for utnyttelsen.<\/p>\n\n\n\n

Deretter samler den inn informasjon om offeret, inkludert e-postadresse, brukernavn og detaljer om Outlook-konfigurasjon.<\/p>\n\n\n\n

Skadevaren oppretter ogs\u00e5 usynlige nettleserelementer som pr\u00f8ver \u00e5 fange opp p\u00e5loggingsinformasjon som automatisk fylles inn av en passordbehandler eller nettleserens autofyll-funksjon.<\/p>\n\n\n\n

OWAReaper s\u00f8ker etter Outlook-tillegg med ReadWriteMailbox<\/code>-tillatelser. N\u00e5r den finner et egnet tillegg, misbruker den den tilgangen til \u00e5 stjele OAuth-tokens.<\/p>\n\n\n\n

E-postbokstillatelser skaper server-side-vedvarende tilstedev\u00e6relse<\/h3>\n\n\n\n

Bakd\u00f8ren kan gi e-postbokstillatelser p\u00e5 eierniv\u00e5 til Exchange Default-brukeren p\u00e5 tvers av alle e-postmapper. Denne konfigurasjonen kan tillate en angriper \u00e5 f\u00e5 tilgang til den kompromitterte e-postboksen via en annen autentisert konto i organisasjonen.<\/p>\n\n\n\n

Fordi Exchange lagrer disse tillatelsene p\u00e5 serveren, kan det hende at ominstallering av offerets datamaskin ikke fjerner angriperen. \u00c5 endre brukerens passord kan ogs\u00e5 mislykkes i \u00e5 blokkere tilgang hvis de ondsinnede e-postbokstillatelsene og de stj\u00e5lne OAuth-tokenene forblir aktive.<\/p>\n\n\n\n

OWAReaper oppretter en annen mekanisme for vedvarende tilstedev\u00e6relse gjennom Outlook Web Access-offlinebufferen. Den aktiverer OWA-bufring og injiserer en ondsinnet iframe i meldinger som er lagret i nettleserens IndexedDB-database.<\/p>\n\n\n\n

Iframen kj\u00f8res hver gang offeret \u00e5pner en forgiftet melding fra offlinebufferen. Denne metoden opererer separat fra server-side-e-postbokstillatelsene.<\/p>\n\n\n\n

Kommandoer skjult i GitHub- og e-postmeldinger<\/h3>\n\n\n\n

OWAReaper st\u00f8tter to kommando-og-kontroll-metoder.<\/p>\n\n\n\n

Den f\u00f8rste metoden bruker krypterte kommandoer skjult i GitHub commit-meldinger. Den andre er avhengig av spesialformaterte e-poster sendt direkte til den kompromitterte e-postboksen.<\/p>\n\n\n\n

For datatyveri sender skadevaren prim\u00e6rt kryptert informasjon over HTTPS via domener for innholdsleveringsnettverk for bilder. Den krypterer data plassert i foresp\u00f8rselsstier med AES-CTR.<\/p>\n\n\n\n

En sekund\u00e6r kanal sender stj\u00e5let informasjon direkte til en angriperkontrollert server n\u00e5r den prim\u00e6re metoden mislykkes.<\/p>\n\n\n\n

Organisasjoner b\u00f8r gjennomg\u00e5 Exchange-tillatelser<\/h3>\n\n\n\n

Proofpoint publiserte et begrenset antall indikatorer p\u00e5 kompromittering, inkludert ondsinnede domener og HTML som inneholder utnyttelsen og nyttelasten.<\/p>\n\n\n\n

Organisasjoner b\u00f8r installere Microsofts sikkerhetsoppdatering for CVE-2026-42897 og inspisere Exchange-milj\u00f8ene sine for tegn p\u00e5 kompromittering. Administratorer b\u00f8r gjennomg\u00e5:<\/p>\n\n\n\n