{"id":5929,"date":"2026-07-30T10:06:22","date_gmt":"2026-07-30T10:06:22","guid":{"rendered":"https:\/\/windowsreport.com\/pt\/backdoor-owareaper-visa-utilizadores-do-microsoft-exchange-2\/"},"modified":"2026-07-30T10:06:22","modified_gmt":"2026-07-30T10:06:22","slug":"backdoor-owareaper-visa-utilizadores-do-microsoft-exchange-2","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/pt\/backdoor-owareaper-visa-utilizadores-do-microsoft-exchange-2\/","title":{"rendered":"Backdoor OWAReaper visa utilizadores do Microsoft Exchange"},"content":{"rendered":"\n

Hackers patrocinados pelo estado russo est\u00e3o a explorar uma vulnerabilidade no Outlook Web Access do Microsoft Exchange para implementar o OWAReaper, um backdoor de webmail concebido para acesso de longa dura\u00e7\u00e3o \u00e0 caixa de correio.<\/p>\n\n\n\n

O grupo, conhecido como Laundry Bear e Void Blizzard, \u00e9 rastreado pela Proofpoint<\/a> como TA488. Os seus alvos incluem organiza\u00e7\u00f5es governamentais nos Estados Unidos e na Europa, bem como empresas de telecomunica\u00e7\u00f5es, financeiras, de hotelaria e aeroespaciais.<\/p>\n\n\n\n

Ataque Explora CVE-2026-42897<\/h2>\n\n\n\n

A campanha explora o CVE-2026-42897<\/a>, uma vulnerabilidade de cross-site scripting no Outlook Web Access.<\/p>\n\n\n\n

A falha permite que JavaScript malicioso seja executado quando um utilizador abre um email especialmente criado no painel de leitura do OWA. O ataque n\u00e3o requer nenhum anexo malicioso, link ou clique adicional.<\/p>\n\n\n\n

A Microsoft divulgou a vulnerabilidade a 14 de maio. No entanto, evid\u00eancias dispon\u00edveis indicam que o Laundry Bear j\u00e1 a tinha explorado como zero-day antes da divulga\u00e7\u00e3o.<\/p>\n\n\n\n

Os atacantes fazem com que os emails pare\u00e7am deliberadamente irrelevantes. Um destinat\u00e1rio pode abrir a mensagem, descart\u00e1-la como lixo e evitar report\u00e1-la porque n\u00e3o cont\u00e9m links ou anexos maliciosos \u00f3bvios.<\/p>\n\n\n\n

As mensagens escondem carregadores JavaScript e payloads codificados em Base64 dentro de URLs de \u00edcones de redes sociais. Os dados maliciosos aparecem ap\u00f3s o caractere #<\/code>, tornando o email mais dif\u00edcil de identificar como um ataque.<\/p>\n\n\n\n

OWAReaper Remove Evid\u00eancias e Recolhe Credenciais<\/h3>\n\n\n\n

O OWAReaper opera inteiramente dentro do painel de leitura do Outlook Web Access. Uma vez executado, o backdoor reescreve o email original no servidor Exchange e remove evid\u00eancias da explora\u00e7\u00e3o.<\/p>\n\n\n\n

Em seguida, recolhe informa\u00e7\u00f5es sobre a v\u00edtima, incluindo endere\u00e7o de email, nome de utilizador e detalhes de configura\u00e7\u00e3o do Outlook.<\/p>\n\n\n\n

O malware tamb\u00e9m cria elementos invis\u00edveis do navegador que tentam capturar credenciais introduzidas automaticamente por um gestor de palavras-passe ou pela funcionalidade de autopreenchimento do navegador.<\/p>\n\n\n\n

O OWAReaper procura suplementos do Outlook com permiss\u00f5es ReadWriteMailbox<\/code>. Quando encontra um suplemento adequado, abusa desse acesso para roubar tokens OAuth.<\/p>\n\n\n\n

Permiss\u00f5es de Caixa de Correio Criam Persist\u00eancia do Lado do Servidor<\/h3>\n\n\n\n

O backdoor pode conceder permiss\u00f5es de caixa de correio ao n\u00edvel de Propriet\u00e1rio ao utilizador Padr\u00e3o do Exchange em todas as pastas de correio. Esta configura\u00e7\u00e3o pode permitir que um atacante aceda \u00e0 caixa de correio comprometida atrav\u00e9s de outra conta autenticada dentro da organiza\u00e7\u00e3o.<\/p>\n\n\n\n

Como o Exchange armazena estas permiss\u00f5es no servidor, reinstalar o computador da v\u00edtima pode n\u00e3o remover o atacante. Alterar a palavra-passe do utilizador tamb\u00e9m pode n\u00e3o bloquear o acesso se as permiss\u00f5es maliciosas da caixa de correio e os tokens OAuth roubados permanecerem ativos.<\/p>\n\n\n\n

O OWAReaper cria outro mecanismo de persist\u00eancia atrav\u00e9s da cache offline do Outlook Web Access. Ele ativa a cache do OWA e injeta um iframe malicioso nas mensagens armazenadas na base de dados IndexedDB do navegador.<\/p>\n\n\n\n

O iframe \u00e9 executado sempre que a v\u00edtima abre uma mensagem envenenada a partir da cache offline. Este m\u00e9todo opera separadamente das permiss\u00f5es de caixa de correio do lado do servidor.<\/p>\n\n\n\n

Comandos Escondidos no GitHub e em Mensagens de Email<\/h3>\n\n\n\n

O OWAReaper suporta dois m\u00e9todos de comando e controlo.<\/p>\n\n\n\n

O primeiro m\u00e9todo utiliza comandos encriptados escondidos dentro de mensagens de commit do GitHub. O segundo baseia-se em emails especialmente formatados enviados diretamente para a caixa de correio comprometida.<\/p>\n\n\n\n

Para roubo de dados, o malware envia principalmente informa\u00e7\u00f5es encriptadas atrav\u00e9s de HTTPS utilizando dom\u00ednios de redes de entrega de conte\u00fado de imagens. Ele encripta os dados colocados dentro dos caminhos de pedido com AES-CTR.<\/p>\n\n\n\n

Um canal secund\u00e1rio envia informa\u00e7\u00f5es roubadas diretamente para um servidor controlado pelo atacante quando o m\u00e9todo principal falha.<\/p>\n\n\n\n

As Organiza\u00e7\u00f5es Devem Rever as Permiss\u00f5es do Exchange<\/h3>\n\n\n\n

A Proofpoint publicou um n\u00famero limitado de indicadores de comprometimento, incluindo dom\u00ednios maliciosos e HTML contendo a explora\u00e7\u00e3o e o payload.<\/p>\n\n\n\n

As organiza\u00e7\u00f5es devem instalar a atualiza\u00e7\u00e3o de seguran\u00e7a da Microsoft para o CVE-2026-42897 e inspecionar os seus ambientes Exchange em busca de sinais de comprometimento. Os administradores devem rever:<\/p>\n\n\n\n