Investigadores de ciberseguridad alertan sobre una campaña en la que actores vinculados al grupo TA488 (Laundry Bear / Void Blizzard) están explotando una falla en Outlook Web Access (OWA) para mantener el acceso a los buzones durante mucho tiempo. El objetivo es conseguir algo más que una intrusión puntual: el malware OWAReaper acceso persistente está diseñado para sobrevivir a cambios típicos de recuperación, como reinstalaciones y rotaciones de credenciales.
El hallazgo se basa en análisis de Proofpoint y en la información del boletín de Microsoft relacionado con la vulnerabilidad CVE-2026-42897. A partir de ahí, se describe cómo el ataque utiliza una variante de explotación “half-click” en correos especialmente manipulados para ejecutar código en el navegador cuando el usuario abre el mensaje en el panel de lectura de OWA.
Qué es CVE-2026-42897 y por qué importa en OWA
CVE-2026-42897 es una vulnerabilidad de Cross-Site Scripting (XSS) que puede permitir ejecutar JavaScript arbitrario en el contexto del navegador. En la práctica, el servidor no sanea correctamente el contenido HTML del cuerpo del mensaje, lo que abre la puerta a que se ejecute código malicioso cuando el usuario interactúa con el correo desde la aplicación OWA.
Este tipo de fallo es especialmente peligroso en servicios de correo web porque el “momento de riesgo” puede ser simplemente abrir el mensaje. De acuerdo con Proofpoint, el mecanismo encaja con la categoría de half-click exploit, ya que no hace falta que el usuario haga clic en un enlace o adjunto: con abrir el email suele bastar para que se dispare la explotación.
La campaña y los mensajes “banales” que invitan a abrir
Proofpoint señaló que la actividad observada estaba dirigida a distintas organizaciones. Entre las víctimas potenciales se mencionan entidades gubernamentales en Estados Unidos y Europa, además de compañías en sectores como telecomunicaciones, finanzas, hospitalidad y aeroespacial.
Un detalle relevante del enfoque del atacante es el uso de asuntos y señuelos que parecen cotidianos: análisis de cadena de suministro, actualizaciones de investigación e incluso indicadores de rendimiento vinculados al turismo y a los mercados del gas. Según los investigadores, estas líneas son deliberadamente “normales” para que la víctima lea y apenas hojee el correo, descartándolo como correo basura sin reportarlo, especialmente cuando no hay URLs sospechosas ni adjuntos visibles.
Cómo funciona OWAReaper: ejecución en el panel de lectura
En los correos, el atacante incluye un cargador JavaScript y fragmentos de carga útil codificados en Base64, integrados dentro de elementos asociados a iconos de redes sociales. Tras dispararse la XSS, el malware que los analistas denominan OWAReaper se ejecuta en el entorno de OWA.
Lo más importante para entender el OWAReaper acceso persistente es que el malware se activa al abrir el mensaje en el panel de lectura, ejecutándose dentro de Outlook Web Access. Luego utiliza APIs de Outlook para modificar el contenido del correo en el servidor y retirar la parte que contiene la explotación.
Mientras corre, también reduce la visibilidad de la actividad deshabilitando elementos de interacción del usuario en OWA, como ventanas emergentes y la acción de clic derecho. Además, el malware recolecta información del usuario afectado, incluida la dirección de correo, el nombre de usuario y configuración de Outlook.
Objetivo: credenciales y datos de la sesión
El análisis indica que el malware intenta capturar credenciales creando elementos invisibles en el DOM y esperando que el navegador complete esos campos automáticamente. Esta táctica refuerza el valor del acceso, porque no se limita a ejecutar código una sola vez: busca aumentar la capacidad de continuar operando.
Persistencia a largo plazo: acceso incluso tras “limpiar” el equipo
Proofpoint explica que TA488 puede mantener el acceso al buzón incluso cuando la organización restaura el sistema desde una imagen limpia o rota credenciales. Esto contrasta con una respuesta típica ante incidentes: si el atacante depende solo de información en el endpoint, el impacto suele disminuir al reemplazar el equipo o cambiar contraseñas.
En cambio, el mecanismo descrito para OWAReaper acceso persistente se apoya en acciones del lado del servidor y en permisos.
Persistencia mediante complementos y tokens OAuth
La primera capa consiste en que el malware verifica si existen add-ins de Outlook instalados con permisos ReadWriteMailbox. Si están presentes, utiliza operaciones para robar tokens OAuth a través de solicitudes como GetClientAccessToken.
A continuación, el malware llama a UpdateFolder para otorgarse permisos de nivel Owner para el usuario “Default” en cada carpeta de correo. Este alias de bajo nivel existe en los arrendamientos de Exchange, y el resultado práctico es que el atacante puede acceder al buzón desde cualquier cuenta autenticada dentro de la organización.
La clave es que, al configurarse la autorización en el servidor, cambiar las credenciales de la cuenta comprometida o reinstalar el sistema afectado no revoca el acceso del atacante.
Persistencia adicional mediante caché offline e iframe
El malware implementa una segunda técnica. Se describe que habilita caché y que inserta un iframe malicioso en HTML de los mensajes almacenados en la base de datos offline (IndexedDB) de OWA.
Como consecuencia, cada vez que el usuario abre el correo “envenenado” desde la caché, el iframe vuelve a ejecutarse. Así, incluso si se intenta “volver a empezar” y el correo ya no se reproduce igual que en el primer momento, el sistema puede seguir desencadenando el código.
Comunicación con el atacante y salida de datos
OWAReaper soporta dos mecanismos de comunicación (C2) para recibir instrucciones. Uno de ellos aprovecha un canal basado en mensajes de commits de GitHub. Cada 24 horas, el malware consulta la Commit Search API buscando mensajes cifrados que sigan un formato específico e incluyan la dirección de correo objetivo.
El malware también puede analizar correos recibidos en el buzón. En particular, revisa la estructura almacenada en IndexedDB identificando cuerpos de mensaje que contengan un patrón con la dirección objetivo y una porción codificada en Base64.
Exfiltración con AES-CTR y, si falla, DNS
Para exfiltrar información, se describen dos rutas principales. La primera utiliza HTTPS con rutas de URI cifradas mediante AES-CTR, que luego se canalizan a través de dominios asociados a CDN (según el análisis). Si ese método falla, la información se envía directamente al servidor del atacante definido en la inicialización de las sesiones de red.
Existe además una opción de respaldo mediante DNS exfiltration, donde los datos se cifran y luego se codifican con Base32 para transportarse en paquetes DNS.
Relación con ataques previos: evolución desde ZimReaper
Proofpoint atribuye la campaña a TA488 basándose en coincidencias de comportamiento con actividades observadas anteriormente en entornos Zimbra. En esos casos se mencionó el uso de XSS como zero-day para entregar el malware ZimReaper, orientado a robar comunicaciones, códigos 2FA, contraseñas y passcodes.
Con OWAReaper, los analistas describen una evolución: se trataría del backdoor más sofisticado entregado mediante half-click exploits visto en esas observaciones. Además, se destaca la presencia de “mecanismos sutiles” para conservar el control tras el incidente.
Qué pueden hacer los equipos de seguridad
La campaña muestra por qué es crucial revisar el correo como superficie de ataque, no solo el endpoint. Si el vector se activa al abrir mensajes en OWA, las alertas basadas únicamente en malware en el equipo podrían llegar tarde.
En la práctica, los equipos deberían:
- Priorizar la gestión de vulnerabilidades y revisar la exposición relacionada con CVE-2026-42897.
- Reforzar controles que detecten XSS y comportamientos anómalos en la lectura de correo web.
- Validar que los procedimientos de respuesta consideren persistencia del lado del servidor (permisos y cambios en carpetas), no solo la rotación de credenciales.
- Revisar indicadores de compromiso publicados por los investigadores, especialmente artefactos HTML relacionados con el exploit y dominios asociados.
La idea general es clara: probar y endurecer cada capa antes de que el adversario demuestre que puede “pasar de largo” sin ser detectado.
Conclusión
La campaña descrita por Proofpoint demuestra cómo una vulnerabilidad de tipo XSS en OWA, como CVE-2026-42897, puede convertirse en una vía de acceso persistente. El malware OWAReaper acceso persistente se ejecuta al abrir mensajes manipulados, altera el entorno del correo desde el servidor y mantiene privilegios mediante permisos y mecanismos que se activan incluso desde la caché offline.
Para reducir el riesgo, no basta con responder al primer impacto: es esencial corregir la falla, vigilar patrones de explotación en el cliente web y ajustar la respuesta a incidentes considerando persistencia a largo plazo.
