Russland-naher Akteur nistet sich dauerhaft in Postfächern ein

Sicherheitsforscher von Proofpoint haben eine neue Kampagne des Russland-nahen Akteurs TA488 identifiziert, die eine Schwachstelle in Outlook Web Access ausnutzt.

Bereits das Öffnen einer E-Mail reicht für eine Infektion mit der neuen Backdoor OWAReaper aus. Seit dem 22. Juli 2026 versendet die auch als Void Blizzard oder Laundry Bear bekannte Gruppe TA488 präparierte E-Mails an Regierungseinrichtungen in den USA und Europa sowie an Unternehmen aus Telekommunikation, Finanzwesen, Gastgewerbe und Luft- und Raumfahrt. Die Nachrichten wirken wie automatisierte Informationsdienste zu unverfänglichen Themen wie Halbleiter-Lieferketten oder Tourismuskennzahlen, enthalten weder Links noch Anhänge und werden deshalb selten dem Sicherheitsteam gemeldet. Für eine Kompromittierung genügt bereits das Öffnen der Nachricht im Webmail-Client.

Ausgenutzt wird dabei CVE-2026-42897, eine Cross-Site-Scripting-Schwachstelle in Outlook Web Access, bei der eingebetteter JavaScript-Code beim Öffnen der E-Mail automatisch ausgeführt wird. Proofpoint hält es für möglich, dass TA488 die Lücke bereits als Zero-Day genutzt hat, da erste Infrastruktur der Kampagne schon im März 2026 entstand, zwei Monate bevor Microsoft im Mai einen außerplanmäßigen Patch veröffentlichte.

Backdoor OWAReaper hinterlässt keine Spuren auf dem Gerät

Am Ende der Infektionskette steht die bislang unbekannte Backdoor OWAReaper, die laut Proofpoint vollständig im Lesebereich von Outlook Web Access läuft und dadurch keine Spuren auf dem Rechner des Opfers hinterlässt. Die Schadsoftware erfasst Zugangsdaten über unsichtbare, von der Autovervollständigung des Browsers befüllte Eingabefelder und sichert sich dauerhaften Zugriff über drei unabhängige Mechanismen: eine verschlüsselte Kopie im localStorage des Browsers, gestohlene OAuth-Token über kompromittierte Outlook-Add-ins sowie einen versteckten iFrame in zwischengespeicherten Nachrichten der Offline-Datenbank. Über den Diebstahl der OAuth-Token verschafft sich die Malware zudem dem Standardnutzer des jeweiligen Exchange-Tenants Besitzerrechte auf sämtliche Mailordner, wodurch praktisch jeder authentifizierte Nutzer der Organisation Zugriff auf das Postfach erhält, bis die Berechtigung gezielt entfernt wird.

Proofpoint bewertet OWAReaper aufgrund erheblicher Überschneidungen mit der aus früheren Kampagnen bekannten Malware ZimReaper als Weiterentwicklung. Der Verzicht auf die massenhafte Exfiltration ganzer Postfächer deutet den Forschern zufolge auf ein gestiegenes Bewusstsein der Gruppe für operative Sicherheit hin.

Russland-naher Akteur: Proofpoint rät zu Widerruf betroffener Zugangstoken

Betroffenen Organisationen empfiehlt Proofpoint, die Exchange-Web-Services-Token der betroffenen Add-ins zu widerrufen, dem Standardnutzer erteilte Ordnerberechtigungen in Exchange zu entziehen sowie die Offline-Datenbank und den genutzten localStorage-Schlüssel auf betroffenen Endgeräten zu leeren. Ausgehende Verbindungen zu bekannten Command-and-Control-Servern der Gruppe sollten blockiert oder mit einer Alarmierung versehen werden.

(Proofpoint/red)