{"id":3165,"date":"2026-07-30T10:22:26","date_gmt":"2026-07-30T10:22:26","guid":{"rendered":"https:\/\/windowsreport.com\/se\/owareaper-bakdorr-riktar-sig-mot-microsoft-exchange-anvandare-4\/"},"modified":"2026-07-30T10:22:26","modified_gmt":"2026-07-30T10:22:26","slug":"owareaper-bakdorr-riktar-sig-mot-microsoft-exchange-anvandare-4","status":"publish","type":"post","link":"https:\/\/windowsreport.com\/se\/owareaper-bakdorr-riktar-sig-mot-microsoft-exchange-anvandare-4\/","title":{"rendered":"OWAReaper-bakd\u00f6rr riktar sig mot Microsoft Exchange-anv\u00e4ndare"},"content":{"rendered":"\n

Ryskstatligt sponsrade hackare utnyttjar en s\u00e5rbarhet i Microsoft Exchange Outlook Web Access f\u00f6r att sprida OWAReaper, en webbmailsbakd\u00f6rr utformad f\u00f6r l\u00e5ngvarig \u00e5tkomst till e-postl\u00e5dor.<\/p>\n\n\n\n

Gruppen, k\u00e4nd som Laundry Bear och Void Blizzard, sp\u00e5ras av Proofpoint<\/a> som TA488. Dess m\u00e5ltavlor omfattar statliga organisationer i USA och Europa, samt telekommunikations-, finans-, bes\u00f6ksn\u00e4rings- och flyg- och rymdf\u00f6retag.<\/p>\n\n\n\n

Attacken utnyttjar CVE-2026-42897<\/h2>\n\n\n\n

Kampanjen utnyttjar CVE-2026-42897<\/a>, en s\u00e5rbarhet f\u00f6r webbplats\u00f6verskridande skript i Outlook Web Access.<\/p>\n\n\n\n

S\u00e5rbarheten till\u00e5ter att skadlig JavaScript-kod k\u00f6rs n\u00e4r en anv\u00e4ndare \u00f6ppnar ett speciellt utformat e-postmeddelande i OWA-l\u00e4srutan. Attacken kr\u00e4ver ingen skadlig bilaga, l\u00e4nk eller extra klick.<\/p>\n\n\n\n

Microsoft offentliggjorde s\u00e5rbarheten den 14 maj. Tillg\u00e4ngliga bevis tyder dock p\u00e5 att Laundry Bear redan hade utnyttjat den som en noll-dagars s\u00e5rbarhet f\u00f6re offentligg\u00f6randet.<\/p>\n\n\n\n

Angriparna g\u00f6r medvetet e-postmeddelandena oansenliga. En mottagare kan \u00f6ppna meddelandet, avf\u00e4rda det som skr\u00e4p och undvika att rapportera det eftersom det inte inneh\u00e5ller n\u00e5gra uppenbart skadliga l\u00e4nkar eller bilagor.<\/p>\n\n\n\n

Meddelandena d\u00f6ljer JavaScript-inl\u00e4sare och Base64-kodade nyttolaster i URL:er till ikoner f\u00f6r sociala medier. Den skadliga datan visas efter tecknet #<\/code>, vilket g\u00f6r e-postmeddelandet sv\u00e5rare att identifiera som en attack.<\/p>\n\n\n\n

OWAReaper tar bort bevis och samlar in inloggningsuppgifter<\/h3>\n\n\n\n

OWAReaper fungerar helt och h\u00e5llet i Outlook Web Access-l\u00e4srutan. N\u00e4r bakd\u00f6rren k\u00f6rs skriver den om det ursprungliga e-postmeddelandet p\u00e5 Exchange-servern och tar bort bevisen f\u00f6r utnyttjandet.<\/p>\n\n\n\n

Den samlar sedan in information om offret, inklusive e-postadress, anv\u00e4ndarnamn och Outlook-konfigurationsinformation.<\/p>\n\n\n\n

Skadeprogrammet skapar ocks\u00e5 osynliga webbl\u00e4sarelement som f\u00f6rs\u00f6ker f\u00e5nga upp inloggningsuppgifter som automatiskt fylls i av en l\u00f6senordshanterare eller webbl\u00e4sarens autofyllfunktion.<\/p>\n\n\n\n

OWAReaper s\u00f6ker efter Outlook-till\u00e4gg med ReadWriteMailbox<\/code>-beh\u00f6righeter. N\u00e4r det hittar ett l\u00e4mpligt till\u00e4gg missbrukar det \u00e5tkomsten f\u00f6r att stj\u00e4la OAuth-token.<\/p>\n\n\n\n

E-postl\u00e5debeh\u00f6righeter skapar best\u00e4ndighet p\u00e5 serversidan<\/h3>\n\n\n\n

Bakd\u00f6rren kan tilldela beh\u00f6righeter p\u00e5 \u00e4garniv\u00e5 f\u00f6r e-postl\u00e5dan till Exchange Standardanv\u00e4ndare i alla e-postmappar. Den h\u00e4r konfigurationen kan g\u00f6ra det m\u00f6jligt f\u00f6r en angripare att komma \u00e5t den komprometterade e-postl\u00e5dan via ett annat autentiserat konto inom organisationen.<\/p>\n\n\n\n

Eftersom Exchange lagrar dessa beh\u00f6righeter p\u00e5 servern kan en ominstallation av offrets dator inte n\u00f6dv\u00e4ndigtvis avl\u00e4gsna angriparen. Att byta anv\u00e4ndarens l\u00f6senord kanske inte heller blockerar \u00e5tkomsten om de skadliga e-postl\u00e5debeh\u00f6righeterna och de stulna OAuth-tokenen fortfarande \u00e4r aktiva.<\/p>\n\n\n\n

OWAReaper skapar en annan best\u00e4ndighetsmekanism via offlinecachen i Outlook Web Access. Den aktiverar OWA-cachelagring och injicerar en skadlig iframe i meddelanden som lagras i webbl\u00e4sarens IndexedDB-databas.<\/p>\n\n\n\n

Iframen k\u00f6rs varje g\u00e5ng offret \u00f6ppnar ett f\u00f6rgiftat meddelande fr\u00e5n offlinecachen. Den h\u00e4r metoden fungerar oberoende av e-postl\u00e5debeh\u00f6righeterna p\u00e5 serversidan.<\/p>\n\n\n\n

Kommandon g\u00f6mda i GitHub och e-postmeddelanden<\/h3>\n\n\n\n

OWAReaper st\u00f6der tv\u00e5 metoder f\u00f6r kommando och kontroll.<\/p>\n\n\n\n

Den f\u00f6rsta metoden anv\u00e4nder krypterade kommandon g\u00f6mda i commit-meddelanden p\u00e5 GitHub. Den andra f\u00f6rlitar sig p\u00e5 speciellt formaterade e-postmeddelanden som skickas direkt till den komprometterade e-postl\u00e5dan.<\/p>\n\n\n\n

F\u00f6r datast\u00f6ld skickar skadeprogrammet i f\u00f6rsta hand krypterad information via HTTPS genom dom\u00e4ner f\u00f6r bildleveransn\u00e4tverk (CDN). Det krypterar data som placeras i s\u00f6kv\u00e4gar i f\u00f6rfr\u00e5gningar med AES-CTR.<\/p>\n\n\n\n

En sekund\u00e4r kanal skickar stulen information direkt till en server som kontrolleras av angriparen n\u00e4r den prim\u00e4ra metoden misslyckas.<\/p>\n\n\n\n

Organisationer b\u00f6r granska Exchange-beh\u00f6righeter<\/h3>\n\n\n\n

Proofpoint har publicerat ett begr\u00e4nsat antal komprometteringsindikatorer, inklusive skadliga dom\u00e4ner och HTML-kod som inneh\u00e5ller utnyttjandet och nyttolasten.<\/p>\n\n\n\n

Organisationer b\u00f6r installera Microsofts s\u00e4kerhetsuppdatering f\u00f6r CVE-2026-42897 och inspektera sina Exchange-milj\u00f6er efter tecken p\u00e5 kompromettering. Administrat\u00f6rer b\u00f6r granska:<\/p>\n\n\n\n