Backdoor OWAReaper visa utilizadores do Microsoft Exchange

Hackers patrocinados pelo estado russo estão a explorar uma vulnerabilidade no Outlook Web Access do Microsoft Exchange para implementar o OWAReaper, um backdoor de webmail concebido para acesso de longa duração à caixa de correio.

O grupo, conhecido como Laundry Bear e Void Blizzard, é rastreado pela Proofpoint como TA488. Os seus alvos incluem organizações governamentais nos Estados Unidos e na Europa, bem como empresas de telecomunicações, financeiras, de hotelaria e aeroespaciais.

Ataque Explora CVE-2026-42897

A campanha explora o CVE-2026-42897, uma vulnerabilidade de cross-site scripting no Outlook Web Access.

A falha permite que JavaScript malicioso seja executado quando um utilizador abre um email especialmente criado no painel de leitura do OWA. O ataque não requer nenhum anexo malicioso, link ou clique adicional.

A Microsoft divulgou a vulnerabilidade a 14 de maio. No entanto, evidências disponíveis indicam que o Laundry Bear já a tinha explorado como zero-day antes da divulgação.

Os atacantes fazem com que os emails pareçam deliberadamente irrelevantes. Um destinatário pode abrir a mensagem, descartá-la como lixo e evitar reportá-la porque não contém links ou anexos maliciosos óbvios.

As mensagens escondem carregadores JavaScript e payloads codificados em Base64 dentro de URLs de ícones de redes sociais. Os dados maliciosos aparecem após o caractere #, tornando o email mais difícil de identificar como um ataque.

OWAReaper Remove Evidências e Recolhe Credenciais

O OWAReaper opera inteiramente dentro do painel de leitura do Outlook Web Access. Uma vez executado, o backdoor reescreve o email original no servidor Exchange e remove evidências da exploração.

Em seguida, recolhe informações sobre a vítima, incluindo endereço de email, nome de utilizador e detalhes de configuração do Outlook.

O malware também cria elementos invisíveis do navegador que tentam capturar credenciais introduzidas automaticamente por um gestor de palavras-passe ou pela funcionalidade de autopreenchimento do navegador.

O OWAReaper procura suplementos do Outlook com permissões ReadWriteMailbox. Quando encontra um suplemento adequado, abusa desse acesso para roubar tokens OAuth.

Permissões de Caixa de Correio Criam Persistência do Lado do Servidor

O backdoor pode conceder permissões de caixa de correio ao nível de Proprietário ao utilizador Padrão do Exchange em todas as pastas de correio. Esta configuração pode permitir que um atacante aceda à caixa de correio comprometida através de outra conta autenticada dentro da organização.

Como o Exchange armazena estas permissões no servidor, reinstalar o computador da vítima pode não remover o atacante. Alterar a palavra-passe do utilizador também pode não bloquear o acesso se as permissões maliciosas da caixa de correio e os tokens OAuth roubados permanecerem ativos.

O OWAReaper cria outro mecanismo de persistência através da cache offline do Outlook Web Access. Ele ativa a cache do OWA e injeta um iframe malicioso nas mensagens armazenadas na base de dados IndexedDB do navegador.

O iframe é executado sempre que a vítima abre uma mensagem envenenada a partir da cache offline. Este método opera separadamente das permissões de caixa de correio do lado do servidor.

Comandos Escondidos no GitHub e em Mensagens de Email

O OWAReaper suporta dois métodos de comando e controlo.

O primeiro método utiliza comandos encriptados escondidos dentro de mensagens de commit do GitHub. O segundo baseia-se em emails especialmente formatados enviados diretamente para a caixa de correio comprometida.

Para roubo de dados, o malware envia principalmente informações encriptadas através de HTTPS utilizando domínios de redes de entrega de conteúdo de imagens. Ele encripta os dados colocados dentro dos caminhos de pedido com AES-CTR.

Um canal secundário envia informações roubadas diretamente para um servidor controlado pelo atacante quando o método principal falha.

As Organizações Devem Rever as Permissões do Exchange

A Proofpoint publicou um número limitado de indicadores de comprometimento, incluindo domínios maliciosos e HTML contendo a exploração e o payload.

As organizações devem instalar a atualização de segurança da Microsoft para o CVE-2026-42897 e inspecionar os seus ambientes Exchange em busca de sinais de comprometimento. Os administradores devem rever:

• Permissões de caixa de correio atribuídas a utilizadores Padrão
• Suplementos do Outlook com acesso extensivo à caixa de correio
• Atividade suspeita de tokens OAuth
• Pedidos incomuns à API do GitHub
• Mensagens potencialmente envenenadas armazenadas nas caches do OWA

As reposições de palavras-passe e a reinstalação de dispositivos podem não remover totalmente o OWAReaper porque os atacantes podem manter o acesso através de permissões do lado do servidor e de mensagens em cache offline.

Noutras notícias de segurança, foram encontrados hackers a utilizar Wi-Fi de hotéis para roubar contas do Microsoft 365, enquanto o ransomware Chaos está a utilizar o msaRAT para esconder tráfego no Chrome e no Edge.

Para responder a ameaças cibernéticas emergentes, a Microsoft também lançou o novo modelo MAI-Cyber-1-Flash.

Via BleepingComputer