Руски хакери ја злоупотребуваат ранливоста во Microsoft OWA за да го задржат пристапот до поштенските сандачиња и по промена на лозинките

Руските актери за сајбер-закани, кои неодамна беа поврзани со злоупотребата на веќе поправена ранливост во Zimbra, сега се забележани како експлоатираат уште една ранливост, овојпат во Microsoft Outlook Web Access (OWA). Цел на нападите се владини институции во САД и Европа, како и организации од телекомуникацискиот, финансискиот, угостителскиот и воздухопловниот сектор.

Активноста, која започнала на 22 јули 2026 година, вклучува злоупотреба на CVE-2026-42897 (CVSS оценка: 8.1), ранливост од типот Cross-Site Scripting (XSS) во OWA. Microsoft соопшти дека оваа ранливост била искористувана во реални напади уште од мај 2026 година.

Компанијата за безбедност Proofpoint ја припишува оваа кампања на групата Laundry Bear (позната и како CL-STA-1114, TA488, UNK_PitStop и Void Blizzard). Истата група претходно беше поврзана со zero-day експлоатацијата на CVE-2025-66376, XSS ранливост во Classic UI на Zimbra, која се злоупотребувала најмалку од јули 2025 година, четири месеци пред да биде поправена.

Во тие претходни напади, напаѓачите испраќале е-пошта од Proton Mail сметки под нивна контрола или од претходно компромитирани адреси. Доволно било жртвата само да ја отвори пораката во ранлива верзија на Zimbra, по што автоматски се активирал експлоитот за CVE-2025-66376. Како резултат, се инсталирал JavaScript-малициозен код наречен ZimReaper, способен да украде до 90 дена електронска пошта, како и други вредни податоци од жртвата.

Истражувачите на Proofpoint – Greg Lesnewich, Stuart Del Caliz, Nick Attfield, Konstantin Klinger, Saher Naumaan и Mark Kelly – изјавија:

„TA488 уште повеќе се потпира на таканаречените ‘half-click’ експлоити, каде што е доволно само да се отвори е-поштата за да дојде до компромитација. Воедно се забележуваат значително подобрени механизми за вчитување, техники и малициозен софтвер, што покажува напредок во нивните способности и тактики.“

Како и претходно, нападите повторно користат компромитирани е-пошта сметки за испраќање пораки што ја злоупотребуваат ранливоста. Сепак, за разлика од претходните кампањи, бројот на фишинг пораки и опсегот на целите е многу поголем. Се смета дека ова е намерна стратегија за нападите да се „изгубат“ меѓу големи количини масовна спам-пошта и така потешко да бидат откриени.

Самите пораки содржат нејасни и информативни теми, без да бараат каква било акција од примачот. Забележани се пораки кои изгледаат како информации за:

• анализи на синџирите на снабдување,
• истражувачки ажурирања,
• статистики за туристичкиот сектор,
• анализи на пазарот на природен гас.

Користењето вакви општи пораки е препознатлив белег на half-click нападите на оваа група. Целта е пораките да изгледаат легитимно и да не предизвикаат сомнеж, бидејќи не содржат ниту линкови ниту прилози. На тој начин се зголемува веројатноста корисникот да ја отвори и прочита пораката, со што автоматски се активира експлоитот за CVE-2026-42897.

Proofpoint објаснува:

„JavaScript-кодот што се вчитува користи onload= обработувач на настани за да го анализира остатокот од телото на пораката, да состави Base64 фрагмент и потоа да го изврши како кодиран JavaScript. Почетниот експлоит и релевантните делови од малициозниот код се скриени во HTML-кодот на иконите за социјални мрежи прикажани во пораката. Следната фаза од малициозниот код е сместена по симболот #, кој прелистувачот го игнорира при обработката на Base64 слики.“

Новата кампања околу CVE-2026-42897 завршува со инсталирање на досега непознат JavaScript имплант за прелистувач наречен OWAReaper, специјално развиен за траен пристап до веб-поштата на Microsoft Outlook Web Access.

Овој малициозен софтвер е опишан како најсофистицираната „задна врата“ (backdoor) испорачана преку half-click експлоити досега. Тој претставува еволуција на ZimReaper, со кој дели значителен дел од изворниот код и однесувањето.

OWAReaper се извршува директно во панелот за читање (Reading Pane) на Outlook Web Access. Откако ќе се активира, користи Outlook API за да ја измени самата е-пошта зачувана на Exchange серверот и да ја отстрани содржината што го активира експлоитот, со што ги прикрива трагите од нападот и му овозможува на напаѓачот да го задржи пристапот до поштенското сандаче дури и ако корисникот подоцна ја промени својата лозинка.

Истовремено, малициозниот софтвер презема чекори за да ги оневозможи OWA прозорците за известувања (pop-ups) и десниот клик на глувчето додека работи. Исто така, создава единствен сесиски клуч (session key) специфичен за жртвата, а потоа ги собира нејзината е-пошта, корисничко име и поставките на Outlook.

Потоа создава две невидливи полиња за внес (input елементи) во Document Object Model (DOM) на веб-страницата, со цел преку функцијата автоматско пополнување (autofill) на прелистувачот да ги украде зачуваните OWA кориснички податоци (корисничко име и лозинка).

Следниот чекор е запишување на шифрирана копија од самиот малициозен код, заедно со модул за негово дешифрирање, во localStorage на прелистувачот. Благодарение на ова, малициозниот код автоматски се извршува секојпат кога корисникот ќе отвори OWA таб во прелистувачот.

OWAReaper проверува дали се инсталирани Outlook додатоци (add-ins) кои имаат ReadWriteMailbox дозволи. Ако ги пронајде, ги користи за да украде OAuth токени, а потоа сам на себе му доделува Owner (сопственик) дозволи за Default корисникот на секоја папка со е-пошта. Со ова практично се овозможува целосен пристап до поштенското сандаче за секој автентициран корисник во истата организација.

Истражувачите објаснуваат:

„Ова е клучен дел од синџирот на инфекција. Ако TA488 има пристап до други сметки во организацијата, групата може трајно да го задржи пристапот до поштенското сандаче на жртвата. Овој пристап постои на страната на серверот и може да се отстрани само со намерна интервенција на Exchange серверот. Промена на лозинката, па дури и целосно реинсталирање на компјутерот на жртвата, не го исфрла напаѓачот од системот.“

Покрај тоа, малициозниот софтвер создава втор механизам за трајност (persistence). Тој додава скриен iframe елемент во пораките што се чуваат во IndexedDB офлајн кешот на OWA и ја овозможува оваа кеш-функција. Секојпат кога жртвата ќе отвори заразена порака од кешот, iframe-от повторно се извршува и повторно го инфицира системот, дури и ако компјутерот бил целосно реинсталиран.

Две различни C2 (Command-and-Control) комуникации

OWAReaper користи два различни начини за комуникација со напаѓачите:

1. Преку GitHub
2. Преку специјално испратени е-пораки од напаѓачите

Во првиот случај, скриптата на секои 24 часа ја пребарува GitHub Commit Search API, барајќи commit пораки што ја содржат е-поштата на жртвата.

Доколку најде таква порака, податоците се преземаат и дешифрираат со:

• клуч кој е вграден во JavaScript кодот,
• AES клуч создаден за тековната сесија.

Ова најверојатно е направено за да се спречи други лица да ги дешифрираат командите.

Откако ќе се дешифрираат, првите четири знаци ја означуваат командата што треба да се изврши:

• code – ја заменува целата програма на OWAReaper со нова верзија.
• domn – ги менува (ротира) серверите за Command-and-Control.
• cmnd – извршува произволен JavaScript код преку функцијата eval().

Како алтернатива, OWAReaper може да чита и влезни е-пораки испратени од операторите на TA488. Тој го пребарува IndexedDB за пораки што ја следат структурата:

{email_на_жртвата} {празно место} {Base64 текст}

Ако пронајде таква порака, ги обработува и ги извршува истите типови команди како и преку GitHub.

Кражба на податоци

Главниот начин за извлекување на украдените податоци е преку HTTPS, при што URI патеките се AES-CTR шифрирани.

Ако оваа метода не успее (на пример, поради мрежни ограничувања), малициозниот софтвер преминува на DNS tunneling.

Во овој случај:

• украдените податоци се вметнуваат во DNS барања;
• тие се испраќаат како дел од DNS ознаките (labels);
• барањата одат кон домен што е под контрола на напаѓачите.

Со ова се заобиколуваат безбедносните механизми што можеби го блокираат HTTPS сообраќајот.

Можно zero-day искористување

Proofpoint истакнува дека најраната инфраструктура користена во оваа кампања била поставена уште во март 2026 година, односно два месеца пред Microsoft јавно да ја објави ранливоста CVE-2026-42897.

Ова отвора можност ранливоста да била користена како zero-day, односно додека сè уште не била јавно позната ниту поправена.

Компанијата додава дека не забележала никаква активност од TA488 во периодот од февруари до 22 јули 2026 година, што сугерира дека групата можеби се подготвувала за оваа нова кампања.

Заклучок на Proofpoint

Proofpoint го опишува OWAReaper како исклучително напреден малициозен софтвер:

„OWAReaper работи директно во контекстот на OWA во прелистувачот, функционира како скриен имплант без никакви траги на самиот компјутер, користи два канали за комуникација со напаѓачите и два различни протоколи за кражба на податоци. Способен е да преживее рестартирање на прелистувачот, промена на лозинките и дури целосно реинсталирање на уредот на жртвата.“

Во заклучокот се наведува и дека:

„Според новите забележани активности, TA488 покажува интерес за широк спектар на индустрии, но и понатаму приоритет им се владините институции и одбранбениот сектор. Темите на пораките остануваат општи и незабележливи, со цел примачот да ја отвори и прелиста пораката без да посомнева дека станува збор за напад.“

Извори:

• The Hacker News – Russian Hackers Exploit Microsoft OWA Flaw to Keep Mailbox Access After Credential Rotation The Hacker News