{"id":1115,"date":"2026-07-30T10:20:57","date_gmt":"2026-07-30T10:20:57","guid":{"rendered":"https:\/\/windowsreport.com\/no\/owareaper-backdoor-retter-seg-mot-microsoft-exchange-brukere-3\/"},"modified":"2026-07-30T10:22:53","modified_gmt":"2026-07-30T10:22:53","slug":"owareaper-backdoor-retter-seg-mot-microsoft-exchange-brukere-3","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/no\/owareaper-backdoor-retter-seg-mot-microsoft-exchange-brukere-3\/","title":{"rendered":"OWAReaper-bakd\u00f8r rammer Microsoft Exchange-brukere"},"content":{"rendered":"\n

Russiske statssponsede hackere utnytter et s\u00e5rbarhet i Microsoft Exchange Outlook Web Access for \u00e5 distribuere OWAReaper, en webmail-bakd\u00f8r designet for langsiktig tilgang til postbokser.<\/p>\n\n\n\n

Gruppen, kjent som Laundry Bear og Void Blizzard, spores av Proofpoint<\/a> som TA488. Dens m\u00e5l inkluderer offentlige organisasjoner i USA og Europa, samt telekommunikasjons-, finans-, hotell- og luftfartsselskaper.<\/p>\n\n\n\n

Angrepet utnytter CVE-2026-42897<\/h2>\n\n\n\n

Kampanjen utnytter CVE-2026-42897<\/a>, et s\u00e5rbarhet for cross-site scripting i Outlook Web Access.<\/p>\n\n\n\n

S\u00e5rbarheten gj\u00f8r at ondsinnet JavaScript kan kj\u00f8res n\u00e5r en bruker \u00e5pner en spesiallaget e-post i OWA-leseruten. Angrepet krever ingen ondsinnet vedlegg, lenke eller ekstra klikk.<\/p>\n\n\n\n

Microsoft offentliggjorde s\u00e5rbarheten 14. mai. Tilgjengelig dokumentasjon tyder imidlertid p\u00e5 at Laundry Bear allerede hadde utnyttet den som et zero-day-angrep f\u00f8r offentliggj\u00f8ringen.<\/p>\n\n\n\n

Angriperne gj\u00f8r bevisst at e-postene ser uviktige ut. En mottaker kan \u00e5pne meldingen, avfeie den som s\u00f8ppel og unng\u00e5 \u00e5 rapportere den fordi den ikke inneholder \u00e5penbare ondsinnede lenker eller vedlegg.<\/p>\n\n\n\n

Meldingene skjuler JavaScript-lastere og Base64-kodede nyttelaster inni URL-er til sosiale medier-ikoner. Den ondsinnede dataen vises etter #<\/code>-tegnet, noe som gj\u00f8r e-posten vanskeligere \u00e5 identifisere som et angrep.<\/p>\n\n\n\n

OWAReaper fjerner bevis og samler inn p\u00e5loggingsinformasjon<\/h3>\n\n\n\n

OWAReaper opererer utelukkende inne i Outlook Web Access-leseruten. N\u00e5r den kj\u00f8rer, omskriver bakd\u00f8ren den opprinnelige e-posten p\u00e5 Exchange-serveren og fjerner bevis p\u00e5 utnyttelsen.<\/p>\n\n\n\n

Deretter samler den inn informasjon om offeret, inkludert e-postadresse, brukernavn og konfigurasjonsdetaljer for Outlook.<\/p>\n\n\n\n

Skadevaren lager ogs\u00e5 usynlige nettleserelementer som fors\u00f8ker \u00e5 fange opp p\u00e5loggingsinformasjon som automatisk fylles inn av en passordbehandler eller nettleserens autofullf\u00f8r-funksjon.<\/p>\n\n\n\n

OWAReaper s\u00f8ker etter Outlook-tillegg med ReadWriteMailbox<\/code>-tillatelser. N\u00e5r den finner et passende tillegg, misbruker den denne tilgangen til \u00e5 stjele OAuth-tokener.<\/p>\n\n\n\n

Postbokstillatelser skaper persistens p\u00e5 serversiden<\/h3>\n\n\n\n

Bakd\u00f8ren kan gi eierniv\u00e5-postbokstillatelser til Exchange Default-brukeren p\u00e5 tvers av alle e-postmapper. Denne konfigurasjonen kan tillate en angriper \u00e5 f\u00e5 tilgang til den kompromitterte postboksen via en annen autentisert konto i organisasjonen.<\/p>\n\n\n\n

Fordi Exchange lagrer disse tillatelsene p\u00e5 serveren, kan ikke reinstallering av offerets datamaskin n\u00f8dvendigvis fjerne angriperen. \u00c5 endre brukerens passord kan ogs\u00e5 mislykkes i \u00e5 blokkere tilgangen hvis de ondsinnede postbokstillatelsene og stj\u00e5lne OAuth-tokener forblir aktive.<\/p>\n\n\n\n

OWAReaper skaper en annen persistensmekanisme gjennom Outlook Web Access’ frakoblede hurtigbuffer. Den aktiverer OWA-hurtigbufring og injiserer en ondsinnet iframe i meldinger som er lagret i nettleserens IndexedDB-database.<\/p>\n\n\n\n

Iframen kj\u00f8res hver gang offeret \u00e5pner en forgiftet melding fra den frakoblede hurtigbufferen. Denne metoden fungerer uavhengig av postbokstillatelsene p\u00e5 serversiden.<\/p>\n\n\n\n

Kommandoer skjult i GitHub- og e-postmeldinger<\/h3>\n\n\n\n

OWAReaper st\u00f8tter to kommando-og-kontroll-metoder.<\/p>\n\n\n\n

Den f\u00f8rste metoden bruker krypterte kommandoer skjult i GitHub commit-meldinger. Den andre er avhengig av spesialformaterte e-poster sendt direkte til den kompromitterte postboksen.<\/p>\n\n\n\n

For datatyveri sender skadevaren prim\u00e6rt kryptert informasjon over HTTPS gjennom domener for innholdsleveringsnettverk for bilder. Den krypterer data plassert i foresp\u00f8rselsstier med AES-CTR.<\/p>\n\n\n\n

En sekund\u00e6r kanal sender stj\u00e5let informasjon direkte til en angriperstyrt server n\u00e5r hovedmetoden mislykkes.<\/p>\n\n\n\n

Organisasjoner b\u00f8r gjennomg\u00e5 Exchange-tillatelser<\/h3>\n\n\n\n

Proofpoint publiserte et begrenset antall kompromissindikatorer, inkludert ondsinnede domener og HTML som inneholder utnyttelsen og nyttelasten.<\/p>\n\n\n\n

Organisasjoner b\u00f8r installere Microsofts sikkerhetsoppdatering for CVE-2026-42897 og inspisere Exchange-milj\u00f8ene sine for tegn p\u00e5 kompromittering. Administratorer b\u00f8r gjennomg\u00e5:<\/p>\n\n\n\n