Via een Outlook Web Access-lek konden Russiche hackers malware installeren nadat de gecompromitteerde mail werd geopend.
De aan Rusland gelinkte hackersgroep Laundry Bear maakt misbruik van een kritieke kwetsbaarheid in Microsoft Exchange Outlook Web Access (OWA) om een nieuwe achterdeur te installeren. Volgens beveiligingsbedrijf Proofpoint is de malware OWAReaper de meest geavanceerde aanval tot nu toe die gebruikmaakt van een zogenoemde half-click exploit. De campagne richt zich op overheidsinstellingen in de Verenigde Staten en Europa, maar ook op bedrijven uit de telecom-, financiële en luchtvaartsector.
E-mail openen volstaat
De aanvallers maken misbruik van CVE-2026-42897, een kwetsbaarheid in Outlook Web Access. Door een fout in de verwerking van HTML-inhoud kan kwaadaardige JavaScript-code worden uitgevoerd zodra een gebruiker een speciaal opgestelde e-mail opent.
OWAReaper wordt volledig binnen de OWA-leesweergave uitgevoerd. De malware verwijdert vervolgens de kwaadaardige code uit de e-mail, waardoor het oorspronkelijke aanvalsspoor verdwijnt. Daarnaast schakelt de malware onder meer pop-ups en de rechtermuisknop uit om analyse te bemoeilijken. OWAReaper verzamelt informatie over het slachtoffer, waaronder het e-mailadres, de gebruikersnaam en Outlook-instellingen. Vervolgens probeert de malware inloggegevens buit te maken door onzichtbare invoervelden aan de webpagina toe te voegen en te wachten tot de browser deze automatisch invult.
Toegang blijft bestaan na wachtwoordwijziging
De malware misbruikt Outlook-add-ins met uitgebreide mailboxrechten om OAuth-tokens te stelen en wijzigt vervolgens de machtigingen van alle e-mailmappen. Daardoor kunnen aanvallers de mailbox blijven benaderen. Ook als het wachtwoord van het slachtoffer wordt gewijzigd of de computer volledig opnieuw wordt geïnstalleerd. OWAReaper injecteert kwaadaardige code in de offline cache van Outlook Web Access. Die code wordt telkens opnieuw uitgevoerd wanneer een besmet e-mailbericht wordt geopend.
Voor communicatie met de aanvallers gebruikt OWAReaper twee verschillende command-and-controlkanalen. Eén daarvan maakt opmerkelijk genoeg gebruik van GitHub-commitberichten waarin versleutelde instructies worden verstopt. Daarnaast kan de malware opdrachten ontvangen via speciaal opgemaakte e-mails in de mailbox van het slachtoffer. Ook voor het stelenvan gegevens voorziet de malware meerdere opties. Standaard worden gestolen gegevens versleuteld via HTTPS verzonden. Als dat niet lukt kan OWAReaper rechtstreeks communiceren met de infrastructuur van de aanvallers of zelfs gegevens via DNS-verkeer exfiltreren.
De onderzoekers hebben indicatoren van compromittering (IoC’s) gepubliceerd en adviseren organisaties die Outlook Web Access gebruiken om na te gaan of de beveiligingsupdate voor CVE-2026-42897 is geïnstalleerd. Daarnaast is het raadzaam mailboxmachtigingen, OAuth-tokens en verdachte wijzigingen aan Outlook-add-ins te controleren om eventuele compromittering tijdig op te sporen.