Een door een Russische staat gelinkte groep, bekend als Laundry Bear (ook Void Blizzard), zet momenteel een opvallend geavanceerde aanpak in tegen e-mailomgevingen van organisaties. Centraal staat Exchange OWAReaper: een backdoor die via Outlook Web Access (OWA) wordt afgeleverd met een zogenoemde half-click exploit.
In de praktijk betekent dit dat slachtoffers niet op verdachte links hoeven te klikken of bijlagen te openen. Het openen van een speciaal samengestelde e-mail volstaat om een kwetsbaarheid te misbruiken in de webmailweergave, waarna de aanvaller toegang kan uitbreiden en behouden.
Wat is Exchange OWAReaper en hoe wordt het geleverd?
Proofpoint ontdekte dat de groep kwetsbaarheid CVE-2026-42897 misbruikt in Exchange Outlook Web Access. Het gaat om een cross-site scripting (XSS)-kwetsbaarheid: bij het weergeven van HTML in de berichtinhoud wordt de invoer onvoldoende veilig geschoond.
Wanneer een gebruiker een kwaadaardige e-mail opent in de OWA-app, kan daardoor arbitraire JavaScript-code draaien in de context van de browser. De aanval is daarom “half-click”: de gebruiker hoeft alleen het bericht te lezen in het leesvenster of de weergave te activeren.
De onderzoekers beschrijven daarnaast dat de campagne zich richt op uiteenlopende doelwitten, waaronder overheidsorganisaties in de VS en Europa en bedrijven in sectoren zoals telecommunicatie, financiën, hospitality en de aerospace-industrie. De onderwerpen en lures sluiten bovendien vaak aan op thema’s die relevant lijken voor de ontvanger.
Van XSS in Zimbra naar OWA: hergebruik met verbeterde tradecraft
Dit is niet de eerste keer dat Laundry Bear webmail-viewers via XSS probeert te compromitteren. Eerder werd al een XSS-kwetsbaarheid (CVE-2025-66376) ingezet als zero-day in Zimbra, waarmee de malware ZimReaper werd geleverd. Die eerdere variant richtte zich op het stelen van e-mailgerelateerde informatie en authenticatiegegevens, zoals 2FA-codes, app-passcodes en wachtwoorden.
De huidige inzet van Exchange OWAReaper lijkt een doorontwikkeling: Proofpoint noemt de nieuwe campagne een duidelijke verbetering in de technische aanpak. Ook hier zit de kern in het misbruik van onvoldoende HTML-sanitatie, maar de uitwerking is volgens de onderzoekers “het meest geavanceerde” backdoor-voorbeeld dat zij zagen binnen half-click XSS-exploits.
Hoe ziet de kwaadaardige inhoud eruit?
De e-mails bevatten een JavaScript-loader en gecodeerde payload-blokken. Opvallend is hoe de code is verstopt: delen van de payload zijn ingebed in patronen rond sociale media icon-URL’s, waarbij informatie na het #-gedeelte wordt aangetroffen.
Voor security teams is dit relevant omdat de e-mail er vaak op het eerste gezicht “normaal” uitziet: onderwerpregels zijn volgens Proofpoint eerder banaal, en er zijn doorgaans geen duidelijke verdachte URL’s of bijlagen. Juist daardoor kan de aanval makkelijk onopgemerkt blijven.
Uitvoering via het leesvenster en het opzetten van stille mechanismen
Volgens Proofpoint draait Exchange OWAReaper volledig binnen het OWA-leesvenster zodra de kwetsbaarheid wordt geactiveerd. Daarna gebruikt de malware OWA-specifieke functionaliteit via Outlook API’s om het bericht op de Exchange-server aan te passen en exploit-inhoud te verwijderen.
Gelijktijdig probeert de malware de gebruikersinteractie te verstoren: pop-ups en rechtsklikfunctionaliteit in OWA worden tijdens de uitvoering uitgeschakeld. Daarmee wordt de kans kleiner dat een gebruiker iets verdachts opmerkt.
De backdoor verzamelt vervolgens gegevens zoals het e-mailadres en gebruikersnaam van de gecompromitteerde account en de Outlook-instellingen. Daarnaast richt de malware zich op het verkrijgen van toegangsgegevens. Dat doet de malware door onzichtbare elementen in de DOM te plaatsen en te wachten op automatische browservulling.
Langdurige mailbox-toegang: blijven zelfs na herstel
Een van de meest zorgwekkende onderdelen van de campagne is de lange-termijn persistence. Zelfs wanneer een systeem wordt hersteld vanaf een schoon image of wanneer de credentials worden vervangen, kan de toegang aan de aanvaller blijven.
Hoe werkt dat? OWAReaper controleert op geïnstalleerde Outlook-add-ins met ReadWriteMailbox-rechten. Met die rechten kan de malware OAuth-tokens bemachtigen via de GetClientAccessToken-aanroep.
Daarna gebruikt de malware UpdateFolder om eigenaar-achtige permissies toe te kennen op mappen voor een alias genaamd ‘Default’, dat standaard bestaat als een laag-permissie alias in Exchange tenants. Hierdoor kan de aanvaller de mailbox benaderen vanuit elk geauthenticeerd account binnen de organisatie.
Omdat de wijziging server-side is, wordt ze niet automatisch teruggedraaid door wachtwoordwisseling of herinstallatie.
Extra persistence via offline cache
Daarnaast activeert de backdoor caching en injecteert ze een kwaadaardige iframe in de offline HTML die is opgeslagen in OWA’s IndexedDB. Dit betekent dat de kwaadaardige code opnieuw kan starten wanneer een slachtoffer later opnieuw een “vergiftigd” bericht opent vanuit de cache.
Command-and-control en datadiefstal
Exchange OWAReaper ondersteunt twee command-and-control (C2) methoden om instructies te ontvangen. Een daarvan gebruikt GitHub commit messages als kanaal. Elke 24 uur zoekt de malware met GitHub Commit Search naar versleutelde commando’s die overeenkomen met een specifiek format en waarin het doel-e-mailadres voorkomt.
Voor dataverzameling gebruikt de backdoor meerdere exfiltratiekanalen. De primaire route loopt via HTTPS, waarbij de URI-paden worden versleuteld met AES-CTR en via bepaalde CDN-domeinen worden geproxied. Als dit mislukt, kan data direct naar de aanvallersserver worden gestuurd, die is vastgelegd in de netwerk-sessies initialisatie.
Als fallback is er ook een DNS-exfiltratie mechanisme: data wordt eerst versleuteld en vervolgens via Base32 omgezet in DNS-pakketten.
Wat betekent dit voor organisaties?
De boodschap voor security teams is duidelijk: dit soort aanvallen verschuift van “wat er in de e-mail staat” naar “wat de weergave in je webmail doet”. Omdat de exploit werkt zodra een gebruiker het bericht opent, is awareness alleen niet voldoende.
Daarnaast laten de persistence-mechanismen zien dat incident response niet stopt bij het resetten van wachtwoorden of het herstellen van een endpoint. Als rechten en tokens op de serverlaag zijn aangeraakt, kan toegang blijven bestaan.
Daarom is het belangrijk om beveiligingscontroles te testen op dekking: detectie- en simulatieregels moeten ook half-click scenario’s meenemen, zodat aanvallen niet “door je omgeving heen glippen” zonder dat iemand het merkt.
Conclusie
Exchange OWAReaper laat zien hoe ver e-mailaanvallen kunnen gaan wanneer een webmailweergave een XSS-kwetsbaarheid verkeerd verwerkt. Met half-click activatie, geavanceerde persistence en server-side permissie-aanpassingen kan de aanvaller langdurig toegang behouden, zelfs na herstel. Organisaties doen er goed aan hun maatregelen niet alleen te richten op verdachte links of bijlagen, maar ook op de beveiliging van OWA-ontwikkeling, serverrechten en detectie op e-mailweergave-gebaseerde exploits.
