Angreifer aus dem Umfeld der staatlich geförderten Gruppe Laundry Bear (auch als Void Blizzard bekannt) haben eine neue Kampagne gestartet, die auf eine Schwachstelle in Exchange Outlook Web Access zielt. Im Mittelpunkt steht die Backdoor OWAReaper, die über einen sogenannten Half-Click Exploit eine langfristige Kontrolle über betroffene Postfächer ermöglichen soll. Dabei reicht schon das Öffnen einer speziell präparierten E-Mail im OWA-Viewer, um den Mechanismus auszulösen.
Wie Proofpoint berichtet, wird dabei eine XSS-Lücke ausgenutzt, die es ermöglicht, im Kontext des Webmail-Clients bösartigen JavaScript-Code auszuführen. Der Zweck ist nicht nur kurzfristiger Schadenszugriff: Die Angreifer kombinieren mehrere Persistenz- und Datenabflusswege, sodass der Zugriff über die Zeit stabil bleibt.
Warum der Zero-Day in OWA so wirksam ist
Proofpoint ordnet die Aktivitäten als deutliche Weiterentwicklung der Angriffsqualität ein. Auslöser ist eine Schwachstelle in der OWA-Komponente, bei der der Server HTML im Nachrichtentext nicht korrekt bereinigt. Wenn ein Nutzer eine präparierte E-Mail im OWA-Reading-Pane öffnet, kann die fehlerhafte Bereinigung dazu führen, dass JavaScript ausgeführt wird.
Die betroffene Schwachstelle wird im Kontext von CVE-2026-42897 beschrieben. In der Praxis bedeutet das: Der Angriff setzt nicht zwingend auf zweifelhafte Links oder Anhänge. Stattdessen nutzen die Täter eine Schwachstelle, die bereits beim Rendern/Öffnen der Nachricht im Browser greift.
„Half-Click“-Ausnutzung: Nur eine Mail reicht
Proofpoint verwendet für diese Technik den Begriff „half-click exploit“. Gemeint ist: Der Nutzer muss nicht aktiv auf einen Link klicken oder ein Formular bestätigen. Es genügt, dass die bösartige E-Mail in OWA geöffnet wird. Damit sinkt die Hürde für die Opfer erheblich, weil typische Nutzerverhalten wie „kurz drüberschauen“ ausreicht.
Die Köder sollen zudem alltäglich wirken. Proofpoint beobachtete Betreffzeilen und Locktexte, die banal erscheinen, etwa zu Themen wie Supply-Chain-Analysen, Forschung-Updates oder Kennzahlen für den Tourismussektor bzw. Gas-Märkte. Die Idee dahinter: Nutzer öffnen die Nachricht und sortieren sie danach als Spam ein, ohne sie zu melden – und genau dann läuft der Angriff an.
Von XSS zur Backdoor: OWAReaper im OWA-Reader
Die Angriffslogik setzt auf das Ausnutzen der XSS-Lücke, um einen JavaScript-Loader nachzuladen. Laut den Beobachtungen sind Payload-Informationen zudem Base64-kodiert und in URLs eingebettet, die nach dem „#“-Zeichen innerhalb von Social-Media-Symbolen platziert werden.
Die geladene Malware, die Proofpoint als OWAReaper bezeichnet, wird direkt im OWA-Reading-Pane ausgeführt. Anschließend nutzt sie Outlook-APIs, um die manipulierten Inhalte auf dem Exchange-Server umzuschreiben und die Exploit-Komponenten wieder zu entfernen. Gleichzeitig werden bestimmte UI-Funktionen in OWA eingeschränkt, während der Schadcode läuft.
In diesem Stadium werden außerdem Informationen über das kompromittierte Konto und dessen Outlook-Einstellungen erfasst. Für das Stehlen von Zugriffsdaten wird u. a. versucht, die Browser-Autofill-Funktion auszunutzen, indem im DOM unsichtbare Elemente erzeugt und dann auf das automatische Ausfüllen gewartet wird.
Langzeit-Persistenz: Zugriff bleibt trotz Bereinigung bestehen
Besonders kritisch ist, wie Proofpoint die Persistenz beschreibt. Die Forscher geben an, dass der Zugriff selbst dann erhalten bleiben kann, wenn ein System aus einem sauberen Image wiederhergestellt oder Anmeldeinformationen rotiert werden. Der Grund liegt darin, wie OWAReaper Berechtigungen serverseitig erweitert.
Im Kern prüft die Schadsoftware nach installierten Outlook-Add-ins, die über ReadWriteMailbox-Rechte verfügen. Anschließend stiehlt sie OAuth-Tokens über eine Anfrage der Operation GetClientAccessToken.
Darauf aufbauend setzt die Malware weitere Rechte um: Mit UpdateFolder werden Zugriffsrechte auf Ordner ausgeweitet, sodass die Angreifer sich Eigentümer-ähnliche Berechtigungen („Owner“-Ebene) auf dem „Default“-Benutzer verschaffen. Dieses Alias ist in Exchange-Mandanten als niedrig privilegierte Voreinstellung bekannt.
Da diese Berechtigungen auf Serverseite wirken, reicht es nicht, nur das Kennwort des betroffenen Nutzers zu ändern oder das Gerät neu einzurichten. Solange die serverseitige Autorisierung nicht bereinigt wird, können die Angreifer weiter auf das Postfach zugreifen.
Zusätzlich implementiert OWAReaper eine zweite Persistenzschicht: Durch das Aktivieren von Caching und das Einspritzen eines schädlichen iFrames in HTML-Inhalte, die in der OWA-Offline-Implementierung in IndexedDB abgelegt sind. Der Effekt: Sobald der Nutzer die vergiftete E-Mail aus dem Cache öffnet, wird die Ausführung erneut ausgelöst.
Kontroll- und Kommunikationswege der Angreifer
Für die Steuerung des Schadcodes sollen zwei Kommando-und-Kontroll-Mechanismen existieren. Einer davon nutzt GitHub-Commit-Informationen als Kommunikationskanal. Alle 24 Stunden durchsucht die Malware die GitHub-Commit-Suche nach verschlüsselten Nachrichten, die einem bestimmten Format entsprechen und die E-Mail-Adresse des Ziels enthalten.
Daneben kann OWAReaper auch Nachrichten aus dem Postfach auslesen: Die Schadsoftware prüft in IndexedDB nach Nachrichtentexten, die einem Muster folgen, bei dem die Zieladresse und anschließend kodierte Inhalte (Base64) auftreten. So wird aus der Mail selbst ein zweiter Träger für Instruktionen oder Nutzdaten.
Datenabfluss: mehrere Wege, mehrere Absicherungen
Auch beim Abfluss der Daten setzen die Angreifer auf Redundanz. Proofpoint beschreibt einen Hauptweg, bei dem der Abfluss über HTTPS erfolgt. Die URI-Pfade sollen dabei mit AES-CTR verschlüsselt sein und über Bild-Content-Delivery-Netzwerke (CDN-Domains) vermittelt werden.
Wenn diese Methode scheitert, liefern die Täter die Daten direkt an ihren Server. Der Zielserver ist in Funktionen zur Initialisierung von ausgehenden Netzwerkverbindungen hinterlegt.
Als weiteren Fallback nennt Proofpoint eine DNS-basierte Exfiltration: Dabei werden Daten zunächst verschlüsselt und anschließend per Base32 in Pakete kodiert. So erhalten die Angreifer gleich mehrere „Plans“, selbst wenn einzelne Wege durch Monitoring oder Netzwerkregeln blockiert werden.
Ein Muster aus früheren XSS-Angriffen
Proofpoint stellt die neuen Beobachtungen in einen größeren Kontext. Laundry Bear/TA488 habe zuvor bereits mit einer anderen XSS-Schwachstelle (CVE-2025-66376) in Zimbra-Umgebungen gearbeitet, um eine Malware namens ZimReaper zu liefern. Diese soll unter anderem E-Mail-Kommunikation, 2FA-Codes, App-Passcodes und Passwörter stehlen.
Dass dieselbe Gruppe auch bei Exchange auf Webmail-Viewer und „half-click“ setzt, passt zu einer strategischen Linie: XSS-Ausnutzung in gängigen Mail-Clients ermöglicht das gezielte Ausspionieren von Konten, ohne dass Opfer zwangsläufig auf auffällige Elemente klicken müssen.
Was betroffene Organisationen jetzt prüfen sollten
Aus Sicht von Security-Teams ist vor allem relevant, dass traditionelle Wiederherstellungsschritte nicht automatisch zum Ende des Zugriffs führen. Proofpoint veröffentlichte dabei eine kleine Menge an Indicators of Compromise (IoCs), darunter genutzte Domains sowie HTML-Bestandteile mit dem CVE-2026-42897-Exploit und Payload-Elementen der OWAReaper-Komponente.
Als praktische Orientierung gilt: Prüfen Sie, ob in OWA/Exchange unerwartete Berechtigungen oder Add-in-Rechte existieren, die nicht zu Ihrer Standardkonfiguration passen. Ebenso sollten Logs und Detektionsmechanismen auf ungewöhnliche Aktivitäten rund um OWA-Rendering, Token-Zugriffe (OAuth) und auffällige Berechtigungsänderungen überwacht werden.
Fazit: OWA-Reaper Exchange zeigt das Risiko von Viewer-basierten Exploits
Die Kampagne verdeutlicht, wie gefährlich Schwachstellen in Webmail-Clients sein können. Mit OWA-Reaper Exchange zeigen die Angreifer, dass ein einmaliges Öffnen einer speziell präparierten Nachricht im OWA-Reading-Pane ausreichen kann, um eine hochkomplexe Backdoor auszuführen – inklusive serverseitiger Persistenz und mehreren Datenabflusswegen.
Wer Exchange und OWA betreibt, sollte daher nicht nur auf klassische Phishing-Indikatoren achten, sondern auch die Reaktion auf XSS-ähnliche Aktivitäten sowie die Berechtigungsintegrität auf Exchange-Ebene konsequent absichern.
