Die Kampagne des Russland verbundenen Bedrohungsakteur TA488 nutzt eine Schwachstelle in Outlook WebAccess (OWA) und zielt auf US-amerikanische und europäische Regierungsbehörden sowie gegen auf die Branchen Telekommunikation, Finanzen, Gastgewerbe und Luft- und Raumfahrt.
Bei der Aktion ist den Experten der Umfang der neuen Welle aufgefallen: Sowohl das Nachrichtenvolumen als auch die Breite der betroffenen Branchen sind für TA488 unüblich und dürften bewusst gewählt worden sein, um in der Masse gewöhnlicher Spam-Kampagnen unterzugehen.
Unauffällige Nachrichten als Einstieg
Für den Versand nutzt TA488 kompromittierte Konten. Die Inhalte der Nachrichten sind bewusst nichtssagend gehalten und verzichten auf eine Handlungsaufforderung, sodass sie wie automatisiert erstellte Informationsdienste zu Themen wie Halbleiter-Lieferketten, den Gasmarkt oder Tourismuskennzahlen wirken. Weil weder verdächtige Links noch Anhänge enthalten sind, überfliegen die Empfänger sie mit hoher Wahrscheinlichkeit und stufen sie als Werbung ein, ohne sie ihrem Sicherheitsteam zu melden, was den Angreifern für einen erfolgreichen Zugriff bereits ausreicht.
Die Angreifer nutzen die Schwachstelle CVE-2026-42897 aus, bei welcher der Server den HTML-Code im Nachrichtentext nicht ausreichend bereinigt, sodass beim Öffnen der E-Mail ein eingebetteter JavaScript-Loader über einen Event-Handler den restlichen Nachrichtentext ausführt. Die eigentliche Schadfunktion versteckt TA488 in den Social-Media-Symbolen der Nachricht, wodurch sich die Erkennung deutlich erschwert. Der bislang unbekannte OWAReaper, ein auf JavaScript basierenden Browser-Implantat, wurde speziell für den dauerhaften Zugriff innerhalb von OWA entwickelt.
OWAReaper: unsichtbar im Browser
Proofpoint bewertet OWAReaper als die bislang ausgereifteste Backdoor, die über einen Half-Click-Exploit ausgeliefert wurde, zumal die Malware vollständig im Lesebereich von Outlook Web Access läuft und keine Spuren auf dem Rechner des Opfers hinterlässt. Nach dem Start überschreibt sie über Outlook-Schnittstellen die ursprüngliche E-Mail auf dem Exchange-Server und entfernt den Exploit-Code. Gleichzeitig deaktiviert OWAReaper während seiner Ausführung OWA-Popups und die Rechtsklick-Funktion.
OWAReaper erstellt daraufhin einen für jedes Ziel einzigartigen Sitzungsschlüssel und beginnt, die E-Mail-Adresse, den Benutzernamen und die Outlook-Einstellungen des Ziels zu erfassen. Anschließend erstellt es zwei unsichtbare Eingabeelemente im DOM und wartet darauf, dass die Autovervollständigungsfunktion des Browsers den Benutzernamen und das Passwort eingibt, um die in OWA gespeicherten Anmeldedaten des Benutzers zu erfassen.
Da OWAReaper erheblich mit der in früheren Kampagnen eingesetzten ZimReaper-Malware übereinstimmt, geht Proofpoint von einer Weiterentwicklung aus. Der Verzicht auf die massenhafte Exfiltration ganzer Postfächer deutet auf ein gestiegenes Bewusstsein der Gruppe für operative Sicherheit hin.
Backdoor sichert dauerhaften Zugriff auf das Postfach
Den dauerhaften Zugriff auf das Postfach sichert die Malware über drei voneinander unabhängige Mechanismen ab. Zunächst schreibt sie eine verschlüsselte Kopie ihrer selbst in ein legitimes Einstellungsfeld im localStorage des Browsers, das Outlook Web Access beim Seitenaufbau ohnehin auswertet, wodurch der Schadcode bei jedem Öffnen eines Tabs automatisch startet.
Kritischer wiegt der zweite Mechanismus: Über Outlook-Add-ins mit weitreichenden Postfachberechtigungen stiehlt OWAReaper OAuth-Token und erteilt anschließend dem Standardnutzer, einem in jedem Exchange-Tenant vorhandenen Alias mit normalerweise minimalen Rechten, Besitzerrechte auf sämtliche Mailordner. Damit erhält praktisch jeder authentifizierte Nutzer derselben Organisation vollen Zugriff auf das Postfach. Verfügt TA488 über weitere Konten im Unternehmen, bleibt der Zugang auf Serverseite dauerhaft bestehen, solange die Berechtigung nicht gezielt auf dem Exchange-Server entfernt wird.
Als dritte Absicherung hinterlegt die Malware einen versteckten iFrame in den zwischengespeicherten Nachrichten der Offline-Datenbank, sodass sich das System bei jedem Öffnen einer dieser E-Mails erneut infiziert.
Admins sollten Zugriffe prüfen und Add-ins sperren
Betroffenen Organisationen empfiehlt Proofpoint, die Exchange-Web-Services-Token der betroffenen Add-ins zu widerrufen. Darüber hinaus sollten sie prüfen, dem Standardnutzer erteilte Ordnerberechtigungen in Exchange zu entziehen sowie die Offline-Datenbank und den genutzten localStorage-Schlüssel auf betroffenen Endgeräten zu leeren. Ausgehende Verbindungen zu den bekannten Command-and-Control-Servern sollten blockiert oder mit einer Alarmierung versehen werden.
Mehr bei Proofpoint.com
Über Proofpoint Proofpoint, Inc. ist ein führendes Cybersicherheitsunternehmen. Im Fokus steht für Proofpoint dabei der Schutz der Mitarbeiter. Denn diese bedeuten für ein Unternehmen zugleich das größte Kapital aber auch das größte Risiko. Mit einer integrierten Suite von Cloud-basierten Cybersecurity-Lösungen unterstützt Proofpoint Unternehmen auf der ganzen Welt dabei, gezielte Bedrohungen zu stoppen, ihre Daten zu schützen und IT-Anwender in Unternehmen für Risiken von Cyberangriffen zu sensibilisieren.