Peretas Rusia mengeksploitasi zero-day Exchange OWA untuk akses kotak surat jangka panjang

Grup peretasan yang disponsori negara Rusia, Laundry Bear, juga dikenal sebagai Void Blizzard, mengeksploitasi kerentanan Exchange Outlook Web Access dalam kampanye email untuk memberikan pintu belakang canggih yang disebut OWAReaper.

Perusahaan keamanan email Proofpoint melihat aktivitas tersebut seminggu yang lalu menargetkan berbagai organisasi, termasuk entitas pemerintah di AS dan Eropa, dan perusahaan di sektor telekomunikasi, keuangan, perhotelan, dan kedirgantaraan.

Laundry Bear mengeksploitasi CVE-2026-42897, kerentanan skrip lintas situs (XSS) yang memungkinkan eksekusi JavaScript sewenang-wenang dalam konteks browser saat pengguna membuka email yang dibuat khusus di aplikasi Outlook Web Access (OWA).

Sebelumnya, peretas yang sama memanfaatkan kerentanan XSS lainnya (CVE-2025-66376) sebagai zero-day di server email Zimbra untuk mengirimkan malware ZimReaper yang mencuri komunikasi email, kode otentikasi dua faktor (2FA), kode sandi aplikasi, dan kata sandi.

Peneliti Proofpoint menyebut aktivitas XSS semacam ini pada platform email web sebagai “eksploitasi setengah klik” karena pengguna hanya perlu membuka email berbahaya untuk memicu kerentanan yang dieksploitasi.

Sanitasi HTML yang tidak tepat

Dalam laporan barunya hari ini, Proofpoint menggambarkan kampanye eksploitasi setengah klik Laundry Bear yang baru sebagai “peningkatan signifikan dalam keahlian dan kemampuan grup.”

Berdasarkan nasihat Microsoft pada tanggal 14 Mei untuk kelemahan CVE-2026-42897 di OWA, pelaku ancaman sudah mengeksploitasinya sebagai zero-day.

Masalah keamanan menyebabkan server melakukan sanitasi yang tidak semestinya terhadap kode HTML di badan pesan, yang dapat dimanfaatkan untuk menjalankan JavaScript saat membuka email.

Menurut Proofpoint, Laundry Bear, yang dilacak perusahaan sebagai TA488, telah menciptakan infrastruktur serangan untuk kampanye OWAReaper pada bulan Maret, hampir dua bulan sebelum peringatan Microsoft.

Dalam aktivitas terbaru yang diamati, pelaku ancaman menggunakan pesan mengenai topik yang menarik bagi target, seperti analisis rantai pasokan, pembaruan penelitian, dan indikator kinerja untuk pariwisata dan pasar gas.

“Baris subjek dan iming-imingnya biasa saja, kemungkinan besar pengguna yang ditargetkan membuka dan membaca sekilas pesan tersebut, namun menganggap pesan tersebut sebagai sampah tanpa melaporkannya, terutama karena tidak ada URL atau lampiran yang mencurigakan.”

Proofpoint menjelaskan bahwa penyerang memanfaatkan masalah sanitasi yang tidak tepat untuk memasukkan kode berbahaya ke dalam pesan guna menambahkan HTML dan JavaScript ke dalam pesan berbahaya.

Email berisi pemuat JavaScript dan blob payload berkode Base64 yang tertanam di URL ikon media sosial setelah karakter ‘#’.

Eksploitasi tersebut menghasilkan pintu belakang yang oleh para peneliti disebut OWAReaper dan digambarkan sebagai “pintu belakang paling canggih yang dihasilkan melalui eksploitasi setengah klik” yang mereka lihat.

Analisis mengungkapkan “rangkaian mekanisme persistensi yang halus” dan mengungkapkan bahwa hal tersebut merupakan evolusi dari malware ZimReaper yang diamati dalam serangan terhadap server email Zimbra.

“OWAREaper dijalankan sepenuhnya di panel baca Outlook Web Access (OWA). Setelah dieksekusi, ia menggunakan API Outlook untuk menulis ulang email di server Exchange dan menghapus konten eksploitasi. Secara bersamaan, OWA menonaktifkan pop-up OWA dan kemampuan klik kanan saat dijalankan,” Kata bukti.

Malware mengumpulkan alamat email, nama pengguna, dan pengaturan Outlook akun yang disusupi. Ia juga mencoba mencuri kredensial akses dengan membuat elemen tak terlihat di Model Objek Dokumen (DOM) dan menunggu browser mengisinya secara otomatis.

Mekanisme persistensi jangka panjang

Peneliti Proofpoint menemukan bahwa TA488 (Laundry Bear, Void Blizzard) dapat mempertahankan akses ke kotak surat target bahkan jika sistem mereka dipulihkan dari citra bersih atau kredensial dirotasi.

Pelaku ancaman mencapai hal ini melalui OWAReaper, yang memeriksa add-in Outlook terinstal yang memiliki izin ReadWriteMailbox dan menggunakannya untuk mencuri token OAuth melalui Permintaan operasi GetClientAccessToken.

“Ia kemudian memanggil UpdateFolder untuk memberikan izin tingkat Pemilik kepada pengguna ‘Default’ (alias preset dengan izin rendah di semua penyewa Microsoft Exchange) pada setiap folder email,” jelas para peneliti.

Hal ini memungkinkan penyerang mengakses kotak surat dari akun mana pun yang diautentikasi dalam organisasi.

Karena izin kotak surat dikonfigurasi di sisi server, mengubah kredensial pengguna yang disusupi atau menginstal ulang sistem yang terpengaruh tidak mencabut akses penyerang.

OWAReaper mengimplementasikan mekanisme persistensi kedua dengan mengaktifkan caching dan memasukkan iframe berbahaya ke dalam HTML pesan yang disimpan di IndexedDB offline OWA.

“Iframe ini dijalankan setiap kali korban membuka email beracun dari cache,” kata para peneliti.

Dua dari segalanya

Malware ini mendukung dua mekanisme perintah dan kontrol (C2) untuk menerima instruksi dari penyerang. Salah satunya menggunakan pesan commit GitHub sebagai saluran komunikasi.

Setiap 24 jam, malware tersebut menanyakan Commit Search API GitHub untuk pesan terenkripsi yang cocok dengan format tertentu dan menyertakan alamat email target.

OWAReaper juga dapat mengurai email yang dikirimkan ke kotak surat target. Ia memeriksa IndexedDB untuk isi pesan dengan {target_email_address}{space}{Base64text} struktur.

Laundry Bear juga menggunakan dua metode untuk mengeksfiltrasi data, yang utama menggunakan HTTPS dengan jalur URI terenkripsi AES-CTR yang akan diproksi melalui domain jaringan pengiriman konten gambar (CDN) tertentu.

Jika metode utama gagal, data dikirim langsung ke server penyerang, yang ditentukan dalam fungsi yang menginisialisasi sesi jaringan keluar.

Ada juga fallback eksfiltrasi DNS, di mana data dienkripsi, kemudian dikodekan dalam paket menggunakan metode Base32.

Proofpoint mengaitkan kampanye OWAReaper dengan pelaku ancaman TA488 berdasarkan perilaku yang tumpang tindih dengan aktivitas ZimReaper dan penggunaan eksploitasi XSS setengah klik untuk menargetkan pemirsa email web untuk tujuan spionase.

Para peneliti menerbitkan serangkaian kecil indikator kompromi (IoC) yang mencakup domain yang digunakan dan isi pesan HTML dengan eksploitasi CVE-2026-42897 dan muatan OWAReaper.