{"id":3163,"date":"2026-07-30T10:21:25","date_gmt":"2026-07-30T10:21:25","guid":{"rendered":"https:\/\/windowsreport.com\/se\/owareaper-bakdorr-riktar-sig-mot-microsoft-exchange-anvandare-3\/"},"modified":"2026-07-30T10:21:25","modified_gmt":"2026-07-30T10:21:25","slug":"owareaper-bakdorr-riktar-sig-mot-microsoft-exchange-anvandare-3","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/se\/owareaper-bakdorr-riktar-sig-mot-microsoft-exchange-anvandare-3\/","title":{"rendered":"OWAReaper-bakd\u00f6rr riktar sig mot Microsoft Exchange-anv\u00e4ndare"},"content":{"rendered":"\n

Ryskt statsunderst\u00f6dda hackare utnyttjar en s\u00e5rbarhet i Microsoft Exchange Outlook Web Access f\u00f6r att distribuera OWAReaper, en webbmejlbakd\u00f6rr utformad f\u00f6r l\u00e5ngvarig brevl\u00e5de\u00e5tkomst.<\/p>\n\n\n\n

Gruppen, k\u00e4nd som Laundry Bear och Void Blizzard, sp\u00e5ras av Proofpoint<\/a> som TA488. Bland dess m\u00e5l finns statliga organisationer i USA och Europa samt f\u00f6retag inom telekommunikation, finans, hotell och flygindustri.<\/p>\n\n\n\n

Attacken utnyttjar CVE-2026-42897<\/h2>\n\n\n\n

Kampanjen utnyttjar CVE-2026-42897<\/a>, en cross-site scripting-s\u00e5rbarhet i Outlook Web Access.<\/p>\n\n\n\n

S\u00e5rbarheten g\u00f6r att skadlig JavaScript kan k\u00f6ras n\u00e4r en anv\u00e4ndare \u00f6ppnar ett specialskapat e-postmeddelande i OWA:s l\u00e4sf\u00f6nster. Attacken kr\u00e4ver varken en skadlig bilaga, l\u00e4nk eller n\u00e5got extra klick.<\/p>\n\n\n\n

Microsoft offentliggjorde s\u00e5rbarheten den 14 maj. Tillg\u00e4ngliga bevis tyder dock p\u00e5 att Laundry Bear redan hade utnyttjat den som en nolldagss\u00e5rbarhet f\u00f6re offentligg\u00f6randet.<\/p>\n\n\n\n

Angriparna g\u00f6r medvetet e-postmeddelandena ointressanta. En mottagare kan \u00f6ppna meddelandet, avf\u00e4rda det som skr\u00e4p och undvika att rapportera det eftersom det inte inneh\u00e5ller n\u00e5gra uppenbart skadliga l\u00e4nkar eller bilagor.<\/p>\n\n\n\n

Meddelandena g\u00f6mmer JavaScript-inl\u00e4sare och Base64-kodade nyttolaster inuti URL-adresser till sociala medie-ikoner. Den skadliga datan visas efter tecknet #<\/code>, vilket g\u00f6r e-postmeddelandet sv\u00e5rare att identifiera som en attack.<\/p>\n\n\n\n

OWAReaper tar bort sp\u00e5r och samlar in autentiseringsuppgifter<\/h3>\n\n\n\n

OWAReaper k\u00f6rs helt och h\u00e5llet inuti Outlook Web Access l\u00e4sf\u00f6nster. N\u00e4r bakd\u00f6rren har k\u00f6rts skriver den om det ursprungliga e-postmeddelandet p\u00e5 Exchange-servern och tar bort alla sp\u00e5r av utnyttjandet.<\/p>\n\n\n\n

Den samlar sedan in information om offret, inklusive e-postadress, anv\u00e4ndarnamn och information om Outlook-konfigurationen.<\/p>\n\n\n\n

Skadeprogrammet skapar ocks\u00e5 osynliga webbl\u00e4sarelement som f\u00f6rs\u00f6ker f\u00e5nga upp autentiseringsuppgifter som automatiskt fylls i av en l\u00f6senordshanterare eller webbl\u00e4sarens autofyllnadsfunktion.<\/p>\n\n\n\n

OWAReaper s\u00f6ker efter Outlook-till\u00e4gg med ReadWriteMailbox<\/code>-beh\u00f6righeter. N\u00e4r det hittar ett l\u00e4mpligt till\u00e4gg missbrukar det den \u00e5tkomsten f\u00f6r att stj\u00e4la OAuth-token.<\/p>\n\n\n\n

E-postl\u00e5debeh\u00f6righeter skapar best\u00e4ndighet p\u00e5 serversidan<\/h3>\n\n\n\n

Bakd\u00f6rren kan tilldela \u00e4garniv\u00e5beh\u00f6righeter (Owner) f\u00f6r brevl\u00e5dan till Exchange-standardanv\u00e4ndaren (Default) i alla e-postmappar. Den h\u00e4r konfigurationen kan g\u00f6ra det m\u00f6jligt f\u00f6r en angripare att komma \u00e5t den komprometterade brevl\u00e5dan via ett annat autentiserat konto inom organisationen.<\/p>\n\n\n\n

Eftersom Exchange lagrar dessa beh\u00f6righeter p\u00e5 servern kan en ominstallation av offrets dator vara otillr\u00e4cklig f\u00f6r att ta bort angriparen. Att byta anv\u00e4ndarens l\u00f6senord kan ocks\u00e5 misslyckas med att blockera \u00e5tkomsten om de skadliga brevl\u00e5debeh\u00f6righeterna och de stulna OAuth-tokenen fortfarande \u00e4r aktiva.<\/p>\n\n\n\n

OWAReaper skapar ytterligare en best\u00e4ndighetsmekanism via Outlook Web Access offlinecache. Den aktiverar OWA-cachelagring och injicerar en skadlig iframe i meddelanden som lagras i webbl\u00e4sarens IndexedDB-databas.<\/p>\n\n\n\n

Iframe-koden k\u00f6rs varje g\u00e5ng offret \u00f6ppnar ett f\u00f6rgiftat meddelande fr\u00e5n offlinecachen. Den h\u00e4r metoden fungerar oberoende av brevl\u00e5debeh\u00f6righeterna p\u00e5 serversidan.<\/p>\n\n\n\n

Kommandon g\u00f6mda i GitHub och e-postmeddelanden<\/h3>\n\n\n\n

OWAReaper st\u00f6der tv\u00e5 metoder f\u00f6r kommando och kontroll.<\/p>\n\n\n\n

Den f\u00f6rsta metoden anv\u00e4nder krypterade kommandon g\u00f6mda i GitHub-incheckningsmeddelanden. Den andra f\u00f6rlitar sig p\u00e5 specialformaterade e-postmeddelanden som skickas direkt till den komprometterade brevl\u00e5dan.<\/p>\n\n\n\n

F\u00f6r datast\u00f6ld skickar skadeprogrammet fr\u00e4mst krypterad information \u00f6ver HTTPS via dom\u00e4ner f\u00f6r bildinneh\u00e5llsleverans (CDN). Det krypterar data som placeras i f\u00f6rfr\u00e5gningsv\u00e4gar med AES-CTR.<\/p>\n\n\n\n

En sekund\u00e4r kanal skickar stulen information direkt till en angriparkontrollerad server n\u00e4r den prim\u00e4ra metoden misslyckas.<\/p>\n\n\n\n

Organisationer b\u00f6r granska Exchange-beh\u00f6righeter<\/h3>\n\n\n\n

Proofpoint har publicerat ett begr\u00e4nsat antal indikatorer p\u00e5 intr\u00e5ng, inklusive skadliga dom\u00e4ner och HTML-kod som inneh\u00e5ller utnyttjandet och nyttolasten.<\/p>\n\n\n\n

Organisationer b\u00f6r installera Microsofts s\u00e4kerhetsuppdatering f\u00f6r CVE-2026-42897 och inspektera sina Exchange-milj\u00f6er f\u00f6r tecken p\u00e5 kompromettering. Administrat\u00f6rer b\u00f6r granska:<\/p>\n\n\n\n