Powiązany z Rosją aktor zagrożeń śledzony przez Proofpoint jako TA488, znany również jako Void Blizzard lub Laundry Bear, wykorzystuje podatność w Microsoft Exchange Outlook Web Access, aby uzyskać trwały dostęp do skrzynek pocztowych.
Kampania nadużywa CVE-2026-42897, luki typu cross-site scripting w Outlook Web Access w lokalnym (on-premises) serwerze Microsoft Exchange Server. Według Proofpoint aktywność rozpoczęła się 22 lipca 2026 roku i dotyczyła organizacji w Stanach Zjednoczonych i Europie, w tym z sektorów rządowego, telekomunikacyjnego, finansowego, hotelarskiego i lotniczo-kosmicznego.
Szczególnie poważne jest to, że złośliwe oprogramowanie może przetrwać standardowe kroki odzyskiwania. Zresetowanie haseł, ponowne uruchomienie przeglądarki, a nawet ponowna instalacja systemu na urządzeniu ofiary mogą nie odebrać atakującemu dostępu, jeśli uprawnienia do skrzynek pocztowych i tokeny po stronie serwera nie zostaną wyczyszczone.
Podatność: CVE-2026-42897
CVE-2026-42897 to problem niewłaściwej neutralizacji danych wejściowych w Microsoft Exchange Server, który umożliwia cross-site scripting w Outlook Web Access. NVD podaje ocenę CVSS firmy Microsoft na poziomie 8,1 (wysoka), a CISA dodała tę podatność do swojego katalogu Known Exploited Vulnerabilities 15 maja 2026 roku.
Luka dotyczy lokalnych środowisk Exchange Server, w tym Exchange Server 2016, Exchange Server 2019 i Exchange Server Subscription Edition, zgodnie z wpisami o dotkniętym oprogramowaniem podanymi przez NVD.
Microsoft ujawnił problem w maju, a następnie wydał aktualizacje zabezpieczeń Exchange Server, które go usuwały. Z wyników wyszukiwania dotyczących Exchange Team firmy Microsoft wynika również, że Exchange Online nie został dotknięty problemem, a aktualizacja z lipca 2026 roku zniosła wcześniejsze zalecenie utrzymywania środka zaradczego po zainstalowaniu poprawki.
Eksploatacja typu „half-click”
Proofpoint opisuje kampanię jako exploit typu half-click.
Ofiara nie musi pobierać załącznika ani klikać linku. Otwarcie złośliwej wiadomości e-mail w Outlook Web Access może wystarczyć do uruchomienia exploita, ponieważ serwer OWA nieprawidłowo przetwarza HTML w treści wiadomości i pozwala na uruchomienie w kontekście przeglądarki kontrolowanego przez atakującego kodu JavaScript.
Przynęty były celowo nudne. Proofpoint zaobserwował ogólne tematy dotyczące łańcuchów dostaw, rynków gazu, wskaźników turystycznych, zdrowia publicznego, hydrologii i energetyki. Cel wydaje się prosty: skłonić adresata do otwarcia i pobieżnego przejrzenia wiadomości, a następnie odrzucenia jej jako spamu bez zgłaszania.
To właśnie czyni ten atak niebezpiecznym. Nie ma oczywistych złośliwych załączników ani podejrzanych adresów URL, które użytkownik mógłby zauważyć.
OWAReaper: implant działający w przeglądarce dla Outlook Web Access
Łańcuch infekcji dostarcza dotychczas nieopisany implant JavaScript, który Proofpoint nazywa OWAReaper.
OWAReaper działa wewnątrz okienka odczytu Outlook Web Access. Nie musi umieszczać tradycyjnego pliku wykonywalnego na komputerze ofiary, co utrudnia wykrywanie na poziomie punktów końcowych. Proofpoint opisał go jako najbardziej wyrafinowanego backdoora, jaki zaobserwował dostarczanego za pomocą tego rodzaju exploita half-click.
Po uruchomieniu OWAReaper zbiera informacje związane ze skrzynką pocztową, takie jak adres e-mail użytkownika, nazwa użytkownika i ustawienia programu Outlook. Próbuje też przechwycić zapisane poświadczenia OWA, tworząc niewidoczne pola wejściowe i czekając, aż mechanizm autouzupełniania w przeglądarce je wypełni.
Implant przepisuje także oryginalną wiadomość e-mail na serwerze Exchange, aby usunąć z niej złośliwą zawartość, co ogranicza widoczne ślady po wykonaniu.
Dlaczego rotacja poświadczeń nie odbiera dostępu
Najważniejszym elementem kampanii jest trwałość.
OWAReaper może wykorzystywać dodatki Outlook z uprawnieniami ReadWriteMailbox, aby uzyskiwać tokeny OAuth przez Exchange Web Services. Następnie używa interfejsów API Exchange, aby nadać uprawnienia na poziomie Owner wbudowanemu użytkownikowi Default w każdym folderze poczty.
Tworzy to problem z dostępem po stronie serwera.
Jeśli atakujący ma dostęp do innego uwierzytelnionego konta w tej samej organizacji, może nadal korzystać ze skrzynki ofiary dzięki tym uprawnieniom do folderów, nawet po zresetowaniu hasła ofiary.
Dlatego standardowe działania naprawcze nie wystarczają.
Zmiana hasła może zatrzymać bezpośredni dostęp jako ofiara, ale nie usuwa automatycznie złośliwych uprawnień do folderów ani nie unieważnia skradzionych tokenów.
Trwałość w pamięci przeglądarki
OWAReaper przechowuje też zaszyfrowaną kopię samego siebie w localStorage przeglądarki pod prawidłowym kluczem ustawień OWA.
Ponieważ OWA później interpretuje ten zapisany stan w ramach normalnego procesu przywracania synchronizacji, implant może uruchomić się ponownie, gdy użytkownik otworzy OWA w przeglądarce.
Złośliwe oprogramowanie dodaje również ukryty element iframe do wiadomości przechowywanych w pamięci podręcznej IndexedDB OWA w trybie offline. Oznacza to, że zatrutych wiadomości z pamięci podręcznej można użyć do ponownego wywołania infekcji po późniejszym ich otwarciu, co tworzy kolejną warstwę trwałości.
To połączenie nadużywania uprawnień po stronie serwera i pamięci po stronie przeglądarki sprawia, że atak jest bardziej odporny niż zwykła kradzież poświadczeń.
Dowodzenie i kontrola
OWAReaper wykorzystuje wiele ścieżek dowodzenia i kontroli (C2).
Proofpoint twierdzi, że implant może pobierać polecenia przez publiczne wyszukiwanie commitów w serwisie GitHub albo przez wiadomości e-mail wysyłane przez atakującego do skrzynki. Obsługuje też wiele metod eksfiltracji, w tym szyfrowany HTTPS oraz tunelowanie DNS jako rozwiązanie awaryjne.
Daje to operatorowi elastyczność. Jeśli jeden kanał zostanie zablokowany lub wykryty, można nadal użyć innego.
Dla obrońców oznacza to, że naprawa musi obejmować monitorowanie sieci, inspekcję skrzynek pocztowych, przegląd tokenów oraz czyszczenie lokalnych artefaktów przeglądarki.
Związek z wcześniejszą aktywnością dotyczącą Zimbra
Proofpoint twierdzi, że OWAReaper wydaje się ewolucją ZimReaper, złośliwego oprogramowania używanego wcześniej przez tego samego aktora przeciwko poczcie internetowej Zimbra. Przypisanie do TA488 opiera się na zbieżności zachowań, wspólnym ukierunkowaniu na pocztę e-mail i kradzież poświadczeń, kodowanej eksfiltracji przez DNS oraz dalszym wykorzystywaniu exploitów half-click wymierzonych w pocztę internetową.
Kampania sugeruje też rosnące możliwości. Proofpoint zauważył, że najwcześniejsza infrastruktura powiązana z kampanią została utworzona w marcu 2026 roku, około dwa miesiące przed pozaplanowym ujawnieniem i działaniami łagodzącymi Microsoftu dla CVE-2026-42897. Proofpoint stwierdził, że czyni to możliwym, iż TA488 wykorzystywał tę podatność jako zero-day.
Co powinni zrobić obrońcy
Organizacje korzystające z lokalnego Exchange z OWA powinny traktować to jako pilny priorytet reagowania na incydenty, a nie tylko zadanie instalowania poprawek.
Kluczowe działania obejmują:
- zastosowanie odpowiednich aktualizacji zabezpieczeń Exchange Server
- potwierdzenie stanu środka zaradczego lub poprawki dla CVE-2026-42897
- audyt uprawnień do folderów Exchange
- usunięcie nieoczekiwanych uprawnień użytkownika Default
- unieważnienie i audyt tokenów EWS dla dotkniętych dodatków
- przegląd dodatków Outlook z uprawnieniami ReadWriteMailbox
- wyczyszczenie pamięci podręcznej IndexedDB OWA na dotkniętych punktach końcowych
- wyczyszczenie podejrzanych kluczy localStorage OWA
- polowanie na wskaźniki OWAReaper i aktywność C2
- monitorowanie tunelowania DNS i nietypowej eksfiltracji przez HTTPS
- przegląd skrzynek pocztowych, które wykazywały aktywność po rotacji haseł
Proofpoint konkretnie zaleca unieważnienie i audyt tokenów EWS dla dotkniętych dodatków, audyt i usunięcie nadanych użytkownikowi Default uprawnień do folderów Exchange, wyczyszczenie IndexedDB OWA i odpowiedniego klucza localStorage oraz blokowanie lub alarmowanie o znanej infrastrukturze dowodzenia i kontroli.
Dlaczego to ma znaczenie
Ta kampania pokazuje, dlaczego przejęcie poczty e-mail nie sprowadza się już tylko do skradzionych haseł.
Atakujący nadużywają samej aplikacji poczty internetowej, pamięci przeglądarki, tokenów OAuth, uprawnień dodatków i uprawnień do folderów Exchange, aby zbudować trwałość, która przetrwa tradycyjne czyszczenie.
Dla obrońców wniosek jest jasny: gdy OWA zostanie wykorzystany, rotacja haseł to dopiero początek.
Trzeba przejrzeć skrzynkę pocztową, tokeny, dodatki, artefakty przeglądarki i uprawnienia do folderów po stronie serwera.
Podsumowanie
Kampania OWAReaper grupy TA488 to poważna eskalacja metod włamań ukierunkowanych na pocztę internetową.
Atak wymaga bardzo niewielkiej interakcji użytkownika, działa w kontekście przeglądarki OWA, pozostawia ograniczony ślad na hoście i może zachować dostęp do skrzynki pocztowej nawet po zmianie poświadczeń.
To czyni go szczególnie groźnym dla sektorów rządowego, telekomunikacyjnego, finansowego, hotelarskiego, lotniczo-kosmicznego i innych o wysokiej wartości, które nadal korzystają z lokalnego Exchange OWA.
Zainstaluj poprawki Exchange, ale na tym nie poprzestawaj. Poluj na mechanizmy trwałości, usuń złośliwe uprawnienia do folderów, unieważnij tokeny, wyczyść pamięć przeglądarki i traktuj dalszy dostęp do skrzynki po rotacji poświadczeń jako poważny sygnał kompromitacji.
