Backdoor OWAReaper visa utilizadores do Microsoft Exchange

Hackers patrocinados pelo estado russo exploram uma vulnerabilidade do Microsoft Exchange Outlook Web Access para implementar o OWAReaper, um backdoor de webmail concebido para acesso de longo prazo a caixas de correio.

O grupo, conhecido como Laundry Bear e Void Blizzard, é rastreado pela Proofpoint como TA488. Os seus alvos incluem organizações governamentais nos Estados Unidos e na Europa, bem como empresas de telecomunicações, finanças, hotelaria e aeroespacial.

Ataque Explora CVE-2026-42897

A campanha explora a CVE-2026-42897, uma vulnerabilidade de cross-site scripting no Outlook Web Access.

A falha permite que JavaScript malicioso seja executado quando um utilizador abre um email especialmente criado no painel de leitura do OWA. O ataque não requer qualquer anexo malicioso, link ou clique adicional.

A Microsoft divulgou a vulnerabilidade a 14 de maio. No entanto, as evidências disponíveis indicam que o Laundry Bear já a tinha explorado como zero-day antes da divulgação.

Os atacantes fazem deliberadamente com que os emails pareçam sem importância. Um destinatário pode abrir a mensagem, descartá-la como lixo e evitar reportá-la porque não contém links ou anexos maliciosos óbvios.

As mensagens escondem carregadores de JavaScript e payloads codificados em Base64 dentro de URLs de ícones de redes sociais. Os dados maliciosos aparecem após o caractere #, tornando o email mais difícil de identificar como um ataque.

OWAReaper Remove Evidências e Recolhe Credenciais

O OWAReaper opera inteiramente dentro do painel de leitura do Outlook Web Access. Uma vez executado, o backdoor reescreve o email original no servidor Exchange e remove evidências da exploração.

Em seguida, recolhe informações sobre a vítima, incluindo endereço de email, nome de utilizador e detalhes de configuração do Outlook.

O malware também cria elementos de navegador invisíveis que tentam capturar credenciais introduzidas automaticamente por um gestor de palavras-passe ou funcionalidade de preenchimento automático do navegador.

O OWAReaper procura suplementos do Outlook com permissões ReadWriteMailbox. Quando encontra um suplemento adequado, abusa desse acesso para roubar tokens OAuth.

Permissões de Caixa de Correio Criam Persistência do Lado do Servidor

O backdoor pode conceder permissões de caixa de correio ao nível de Proprietário ao utilizador Predefinido do Exchange em todas as pastas de correio. Esta configuração pode permitir que um atacante aceda à caixa de correio comprometida através de outra conta autenticada dentro da organização.

Como o Exchange armazena estas permissões no servidor, reinstalar o computador da vítima pode não remover o atacante. Alterar a palavra-passe do utilizador também pode não bloquear o acesso se as permissões maliciosas da caixa de correio e os tokens OAuth roubados permanecerem ativos.

O OWAReaper cria outro mecanismo de persistência através da cache offline do Outlook Web Access. Ativa a cache do OWA e injeta um iframe malicioso nas mensagens armazenadas na base de dados IndexedDB do navegador.

O iframe é executado sempre que a vítima abre uma mensagem envenenada da cache offline. Este método funciona separadamente das permissões de caixa de correio do lado do servidor.

Comandos Escondidos em Mensagens do GitHub e Email

O OWAReaper suporta dois métodos de comando e controlo.

O primeiro método utiliza comandos encriptados escondidos em mensagens de commit do GitHub. O segundo baseia-se em emails com formato especial enviados diretamente para a caixa de correio comprometida.

Para o roubo de dados, o malware envia principalmente informações encriptadas por HTTPS através de domínios de redes de entrega de conteúdo de imagens. Encripta os dados colocados nos caminhos dos pedidos com AES-CTR.

Um canal secundário envia informações roubadas diretamente para um servidor controlado pelo atacante quando o método principal falha.

As Organizações Devem Rever as Permissões do Exchange

A Proofpoint publicou um número limitado de indicadores de comprometimento, incluindo domínios maliciosos e HTML contendo a exploração e o payload.

As organizações devem instalar a atualização de segurança da Microsoft para a CVE-2026-42897 e inspecionar os seus ambientes Exchange em busca de sinais de comprometimento. Os administradores devem rever:

• Permissões de caixa de correio atribuídas a utilizadores Predefinido
• Suplementos do Outlook com acesso extenso à caixa de correio
• Atividade suspeita de tokens OAuth
• Pedidos incomuns à API do GitHub
• Mensagens potencialmente envenenadas armazenadas nas caches do OWA

As redefinições de palavras-passe e a reinstalação de dispositivos podem não remover totalmente o OWAReaper porque os atacantes podem manter o acesso através de permissões do lado do servidor e mensagens em cache offline.

Noutras notícias de segurança, foram encontrados hackers a utilizar Wi-Fi de hotéis para roubar contas Microsoft 365, enquanto o ransomware Chaos está a utilizar o msaRAT para esconder tráfego no Chrome e no Edge.

Para responder a ameaças cibernéticas emergentes, a Microsoft também lançou o novo modelo MAI-Cyber-1-Flash.

Via BleepingComputer