俄罗斯黑客利用 Exchange OWA 零日漏洞实现长期邮箱访问

俄罗斯国家支持的黑客组织 Laundry Bear（又称 Void Blizzard）正在利用 Exchange Outlook Web Access 漏洞，通过电子邮件活动投放一种名为 OWAReaper 的复杂后门。
电子邮件安全公司 Proofpoint 一周前发现了该活动，其目标涵盖各类组织，包括美国和欧洲的政府实体，以及电信、金融、酒店和航空航天行业的公司。
Laundry Bear 利用了 CVE-2026-42897，这是一个跨站脚本（XSS）漏洞，当用户在 Outlook Web Access（OWA）应用中打开精心构造的电子邮件时，该漏洞允许在浏览器上下文中执行任意 JavaScript。
此前，同一批黑客曾利用另一个 XSS 漏洞（CVE-2025-66376）作为 Zimbra 电子邮件服务器中的零日漏洞，投放恶意软件 ZimReaper，用于窃取电子邮件通信、双因素认证（2FA）代码、应用密码和登录密码。
Proofpoint 研究人员将这种针对网页邮件平台的 XSS 活动称为"半点击利用"，因为用户只需打开恶意电子邮件即可触发被利用的漏洞。
不当的 HTML 清理
在今天的一份新报告中，Proofpoint 将 Laundry Bear 的新半点击利用活动描述为该组织"在战术和能力上的重大进步"。
根据微软于 5 月 14 日发布的关于 OWA 中 CVE-2026-42897 漏洞的公告，该威胁行为者此前已将其作为零日漏洞进行利用。
该安全问题导致服务器未能正确清理消息正文中的 HTML 代码，这可能在打开电子邮件时被利用来运行 JavaScript。
据 Proofpoint 称，Laundry Bear（该公司追踪编号为 TA488）早在 3 月份就为 OWAReaper 活动建立了攻击基础设施，比微软发出警告早了近两个月。
在最近观察到的活动中，该威胁行为者使用了目标感兴趣的主题消息，例如供应链分析、研究更新以及旅游和天然气市场的绩效指标。
"主题行和诱饵都很平庸，可能目的是让目标用户打开并浏览消息，但将其视为垃圾邮件而不予报告，尤其是考虑到其中没有可疑的 URL 或附件。"
Proofpoint 解释说，攻击者利用不当的清理问题在消息中包含恶意代码，以在恶意消息中添加 HTML 和 JavaScript。
电子邮件包含一个 JavaScript 加载器和嵌入在社交媒体图标 URL 中"#"字符之后的 Base64 编码 payload 块。
该利用投放了一个研究人员称之为 OWAReaper 的后门，并将其描述为他们所见过的"通过半点击利用交付的最复杂的后门"。
分析揭示了一套"微妙的持久化机制"，并发现它是针对 Zimbra 电子邮件服务器攻击中观察到的 ZimReaper 恶意软件的演进版本。
"OWAReaper 完全在 Outlook Web Access（OWA）阅读窗格中执行。执行时，它使用 Outlook API 重写 Exchange 服务器上的电子邮件并删除利用内容。同时，它在运行时禁用 OWA 弹出窗口和右键功能，"Proofpoint 表示。
该恶意软件收集被入侵账户的电子邮件地址、用户名和 Outlook 设置。它还试图通过在文档对象模型（DOM）中创建不可见元素并等待浏览器自动填充来窃取访问凭据。
长期持久化机制
Proofpoint 研究人员发现，TA488（Laundry Bear, Void Blizzard）即使目标系统从干净镜像恢复或凭据被轮换，也能保持对目标邮箱的访问。
威胁行为者通过 OWAReaper 实现这一点，该后门检查已安装的具有 ReadWriteMailbox 权限的 Outlook 加载项，并利用它们通过 GetClientAccessToken 操作请求窃取 OAuth 令牌。
"然后它调用 UpdateFolder，为每个邮件文件夹上的'Default'用户（所有 Microsoft Exchange 租户中一个低权限的预设别名）授予所有者级别的权限，"研究人员解释道。
这使得攻击者能够从组织内的任何经过身份验证的账户访问该邮箱。
由于邮箱权限是在服务端配置的，更改被入侵用户的凭据或重装受影响的系统并不会撤销攻击者的访问权限。
OWAReaper 还实现了第二种持久化机制：启用缓存并在存储在 OWA 离线 IndexedDB 中的消息 HTML 中注入恶意 iframe。
"每当受害者从缓存中打开被投毒的电子邮件时，这个 iframe 都会执行，"研究人员表示。
双重机制
该恶意软件支持两种命令与控制（C2）机制来接收攻击者的指令。其中一种使用 GitHub 提交消息作为通信渠道。
每 24 小时，恶意软件会查询 GitHub 的 Commit Search API，查找与特定格式匹配并包含目标电子邮件地址的加密消息。
OWAReaper 还可以解析投递到目标邮箱的电子邮件。它检查 IndexedDB 中是否存在具有 {target_email_address}{space}{Base64text} 结构的消息正文。
Laundry Bear 还使用了两种数据外泄方法，主要方法使用通过特定图片内容分发网络（CDN）域名代理的、带有 AES-CTR 加密 URI 路径的 HTTPS。
如果主要方法失败，数据将直接传送到攻击者的服务器，该服务器在初始化出站网络会话的函数中定义。
还有一种 DNS 外泄备用方案，其中数据被加密，然后使用 Base32 方法编码到数据包中。
Proofpoint 基于与 ZimReaper 活动的行为重叠，以及使用半点击 XSS 利用针对网页邮件查看者进行间谍活动，将 OWAReaper 活动归因于 TA488 威胁行为者。
研究人员发布了一小部分入侵指标（IoC），包括所使用的域名以及包含 CVE-2026-42897 利用代码和 OWAReaper payload 的 HTML 消息正文。