Russische Hacker nutzen Exchange-OWA-Zero-Day für Zugriff auf Postfächer aus

Russische staatlich unterstützte Hacker, die als Laundry Bear bekannt sind, nutzen eine Zero-Day-Schwachstelle in Exchange OWA aus, um dauerhaften Zugriff auf die Postfächer ihrer Opfer zu erhalten. Die Kampagne verwendet speziell präparierte E-Mails, um eine hochentwickelte browserbasierte Backdoor namens OWAReaper einzuschleusen.

Proofpoint entdeckte die Aktivitäten bei Angriffen auf Regierungsorganisationen in den USA und Europa sowie auf Unternehmen aus den Bereichen Telekommunikation, Finanzen, Hotellerie und Luftfahrt. Für einen erfolgreichen Angriff müssen die Opfer lediglich eine schädliche E-Mail in Outlook Web Access öffnen.

Schädliche E-Mails nutzen Schwachstelle in Outlook Web Access aus

Laundry Bear, auch bekannt als Void Blizzard und TA488, nutzte CVE-2026-42897 aus. Dabei handelt es sich um eine Cross-Site-Scripting-Schwachstelle in Outlook Web Access, durch die beliebiger JavaScript-Code im Browser ausgeführt werden kann, sobald ein Nutzer eine speziell präparierte Nachricht öffnet.

Forscher beschreiben diese Technik als „Half-Click-Exploit“. Opfer müssen weder einen Anhang öffnen noch eine schädliche Website besuchen. Allein das Anzeigen der E-Mail im OWA-Lesebereich kann den Angriff auslösen.

Microsoft veröffentlichte die Schwachstelle im Mai 2026. Laut Proofpoint hatte der Bedrohungsakteur jedoch bereits im März Infrastruktur für die OWAReaper-Kampagne vorbereitet. Dies deutet darauf hin, dass die Ausnutzung bereits vor der öffentlichen Sicherheitswarnung begann.

Unzureichende HTML-Bereinigung ermöglicht den Angriff

CVE-2026-42897 besteht, weil der Server HTML-Code in E-Mail-Nachrichten nicht ordnungsgemäß bereinigt. Angreifer können diese Schwachstelle missbrauchen, um schädlichen HTML- und JavaScript-Code in eine E-Mail einzufügen.

Die beobachteten Nachrichten verwendeten unauffällige Betreffzeilen zu Themen wie Lieferkettenanalysen, Forschungsupdates, Tourismusmärkte und Entwicklungen auf dem Gasmarkt. Diese Köder sollten Empfänger dazu bringen, die Nachricht zu öffnen und kurz zu lesen, ohne einen Angriff zu vermuten.

Verdächtige Links oder Anhänge waren nicht erforderlich. Stattdessen enthielten die schädlichen E-Mails einen JavaScript-Loader und Base64-codierte Payload-Daten, die nach dem #-Zeichen in URLs von Social-Media-Symbolen versteckt waren.

Sobald das Opfer die Nachricht öffnete, startete der Code OWAReaper direkt im Lesebereich von Outlook Web Access.

OWAReaper verbirgt seine Aktivitäten im Postfach

OWAReaper läuft vollständig innerhalb der Browser-Sitzung des Opfers. Nach der Ausführung verwendet die Backdoor Outlook-APIs, um die schädliche E-Mail auf dem Exchange-Server umzuschreiben und den Exploit-Code zu entfernen.

Gleichzeitig kann die Backdoor während ihrer Ausführung Pop-ups und die Rechtsklickfunktion in OWA deaktivieren. Dadurch sind die Aktivitäten für das Opfer schwerer zu erkennen.

Die Malware sammelt Informationen über das kompromittierte Konto, darunter E-Mail-Adresse, Benutzername und Outlook-Einstellungen. Außerdem versucht sie, gespeicherte Zugangsdaten zu stehlen, indem sie unsichtbare Seitenelemente erstellt und darauf wartet, dass der Browser diese automatisch ausfüllt.

Proofpoint bezeichnet OWAReaper als die fortschrittlichste Backdoor, die das Unternehmen bislang über einen Half-Click-Webmail-Exploit verbreitet gesehen hat.

Angreifer behalten Zugriff auch nach Passwortänderungen

Die gefährlichste Funktion der Kampagne ist ihre Fähigkeit, langfristigen Zugriff auf ein Postfach einzurichten. OWAReaper sucht nach Outlook-Add-ins mit ReadWriteMailbox-Berechtigungen und nutzt diese, um über die GetClientAccessToken-Operation OAuth-Token zu stehlen.

Anschließend verwendet die Backdoor die UpdateFolder-Anfrage, um dem niedrig privilegierten Benutzer Default für jeden Ordner im Postfach Zugriff auf Owner-Ebene zu gewähren.

Diese serverseitige Änderung der Berechtigungen ermöglicht es Angreifern, von jedem authentifizierten Konto innerhalb der Organisation auf das Postfach zuzugreifen. Das Zurücksetzen des Passworts des Opfers oder die Neuinstallation des Geräts entfernt diesen Zugriff nicht.

Eine zweite Persistenzmethode zielt auf den Offline-Speicher von Outlook Web Access. Die Malware aktiviert das Caching und fügt einen schädlichen iframe in Nachrichten ein, die im IndexedDB-Cache von OWA gespeichert werden.

Dieser iframe kann jedes Mal ausgeführt werden, wenn das Opfer eine manipulierte Nachricht aus dem lokalen Cache öffnet.

OWAReaper nutzt mehrere Befehlskanäle

Die Backdoor unterstützt zwei Command-and-Control-Methoden. Eine davon durchsucht GitHub-Commit-Nachrichten nach verschlüsselten Anweisungen, die die E-Mail-Adresse des Ziels enthalten.

Alle 24 Stunden durchsucht OWAReaper über die Commit Search API von GitHub Nachrichten, die einem bestimmten Format entsprechen. Die Malware kann außerdem Befehle über speziell strukturierte E-Mails empfangen, die an das kompromittierte Postfach gesendet werden.

Für den Datendiebstahl sendet die primäre Methode verschlüsselte Informationen über HTTPS-Anfragen, die über ausgewählte CDN-Domains für Bilder geleitet werden. Falls dieser Weg scheitert, kann die Malware Daten direkt an eine von den Angreifern kontrollierte Infrastruktur senden.

OWAReaper verfügt außerdem über eine DNS-basierte Ausweichmethode zur Datenexfiltration. Vor der Übertragung werden die Daten verschlüsselt und mit Base32 codiert.

Kampagne mit früheren Zimbra-Angriffen in Verbindung gebracht

Proofpoint brachte die Operation aufgrund ihres Verhaltens, ihrer Infrastruktur und der Verwendung von Half-Click-Webmail-Exploits mit Laundry Bear in Verbindung. Die Gruppe nutzte zuvor eine Zero-Day-Schwachstelle in Zimbra aus, um ZimReaper einzuschleusen. Diese Malware stahl E-Mail-Inhalte, Codes für die Zwei-Faktor-Authentifizierung, App-Passwörter und Zugangsdaten.

Die jüngste Zero-Day-Kampagne gegen Exchange OWA zeigt eine deutliche Weiterentwicklung der Fähigkeiten der Gruppe. Organisationen, die Outlook Web Access verwenden, sollten die verfügbaren Sicherheitsupdates von Microsoft installieren, Postfachberechtigungen überprüfen und ungewöhnliche Add-in-Aktivitäten, die Nutzung von OAuth-Token sowie verdächtige E-Mail-Inhalte untersuchen.