Une campagne d’intrusion récemment observée met en évidence un risque concret pour les organisations utilisant Exchange Outlook Web Access. Des chercheurs indiquent que des acteurs associés à Laundry Bear (aussi connu sous Void Blizzard) exploitent un exploit Exchange OWA afin de compromettre des boîtes mail et d’y maintenir l’accès sur le long terme.
Le mécanisme s’appuie sur une faille de type cross-site scripting (XSS) déclenchée lorsqu’un utilisateur ouvre un e-mail spécialement préparé dans l’application OWA. Dans la pratique, l’attaque vise à agir avec peu d’interaction : il suffit d’ouvrir le message.
Une faille XSS dans Outlook Web Access
Selon les informations publiées par Proofpoint, l’attaque tire parti d’une vulnérabilité référencée CVE-2026-42897. Il s’agit d’un défaut de filtrage/sanitation HTML : lors de l’affichage du corps du message, le serveur traiterait incorrectement le contenu et permettrait l’exécution de JavaScript dans le contexte du navigateur.
Le point clé est que l’attaque est déclenchée simplement en ouvrant l’e-mail dans la vue de lecture OWA. Les chercheurs qualifient ce schéma de « half-click exploit », car aucune action complexe n’est nécessaire après l’ouverture du message.
Des e-mails banals, pensés pour être survolés
La campagne observée utilise des lignes d’objet et des thèmes susceptibles d’intéresser les cibles, par exemple des analyses de chaîne d’approvisionnement, des mises à jour de recherche, ou encore des indicateurs de performance liés au tourisme et aux marchés du gaz.
Autre détail important : les leurres semblent peu alarmants. Les chercheurs rapportent que les sujets sont « banals », ce qui favorise un scénario où l’utilisateur ouvre le message, le parcourt rapidement, puis le classe sans le signaler comme suspect. En outre, il n’est pas question de liens ou de pièces jointes clairement atypiques à première vue.
OWAReaper : la backdoor livrée via l’attaque
Le exploit Exchange OWA permet de déposer une backdoor baptisée OWAReaper. Proofpoint décrit ce composant comme l’une des plus sophistiquées observées dans le cadre de ces exploits à déclenchement rapide contre des lecteurs de webmail.
Sur le plan technique, l’exécution se fait dans le volet de lecture d’OWA. Après lancement, le malware s’appuie sur des API Outlook pour modifier l’e-mail côté serveur et retirer le contenu lié à l’exploitation. En parallèle, il limite l’interaction de l’utilisateur en désactivant des éléments d’interface, comme les pop-ups et le clic droit, pendant la durée d’exécution.
La charge utile tente aussi d’identifier la victime : elle récupère notamment l’adresse e-mail, le nom d’utilisateur et des réglages Outlook. Elle cherche également à aspirer des informations d’accès en créant des éléments invisibles dans le DOM, dans l’espoir de faire compléter automatiquement certains champs par le navigateur.
Une évolution par rapport aux attaques sur Zimbra
Les chercheurs soulignent une continuité avec des activités précédemment associées à des campagnes contre Zimbra. Dans ce contexte, le même type d’approche — des exploits XSS à déclenchement lors de l’affichage — servait à livrer un malware appelé ZimReaper visant l’espionnage.
Dans l’attaque actuelle, Proofpoint mentionne que l’analyse d’OWAReaper révèle des mécanismes de persistance subtils et une évolution cohérente avec ces usages antérieurs. Cela suggère que la méthodologie est mature et ajustée aux environnements de messagerie ciblés.
Accès durable : la persistance côté serveur
Un des aspects les plus préoccupants concerne la persistance. Proofpoint rapporte que l’accès à la boîte mail peut se maintenir même si un système est remis dans un état propre (par exemple à partir d’une image nette) ou si des identifiants sont renouvelés.
La raison tient au fait que la backdoor exploite des permissions configurées via des mécanismes côté serveur. Concrètement, OWAReaper vérifie l’existence d’add-ins Outlook dotés des permissions ReadWriteMailbox. Ensuite, elle utilise l’opération GetClientAccessToken pour récupérer des jetons OAuth.
Puis, la backdoor appelle UpdateFolder afin d’accorder un niveau de privilèges Owner sur chaque dossier à l’alias utilisateur Default (un alias à faible permission présent dans les tenants Exchange). Le résultat : les attaquants peuvent accéder à la boîte depuis tout compte authentifié au sein de l’organisation.
Pourquoi le renouvellement des mots de passe ne suffit pas
Comme l’attribution des droits est réalisée côté serveur, le fait de changer les identifiants de l’utilisateur compromis ou de réinstaller l’environnement ne coupe pas nécessairement l’accès des attaquants. Autrement dit, même une « remise à zéro » partielle côté poste ne garantit pas l’éradication complète de la compromission.
Persistance via cache hors ligne et mécanisme secondaire
En plus de la persistance côté serveur, OWAReaper met en place un second mécanisme. Il s’agit d’une configuration de cache et d’une injection d’un iframe malveillant dans le HTML des messages stockés dans OWA offline IndexedDB.
Les chercheurs indiquent que cet iframe s’exécute à chaque fois que la victime ouvre un message empoisonné depuis le cache. Ce détail rend la détection plus délicate, car une menace peut se réactiver même après des nettoyages qui n’effacent pas correctement les contenus mis en cache.
Canaux de commande : GitHub et messages ciblés
OWAReaper dispose de deux mécanismes de commande et de contrôle (C2) pour recevoir des instructions.
Le premier s’appuie sur des messages dissimulés dans des commit messages sur GitHub. Toutes les 24 heures, le malware interroge l’API de recherche de commits pour retrouver des contenus chiffrés correspondant à un format précis, et incluant l’adresse e-mail de la cible.
Le second mécanisme consiste à analyser des e-mails acheminés vers la boîte de la victime. Le malware examine alors le cache IndexedDB et repère des structures dont le format correspond à : {adresse cible}{espace}{contenu Base64}.
Exfiltration : HTTPS chiffré puis solution de repli
Pour extraire les données, Proofpoint décrit deux méthodes. La première passe par HTTPS en chiffrant les chemins d’URI via AES-CTR. L’acheminement peut ensuite être relayé via des domaines liés à un réseau de type CDN.
Si cette voie principale échoue, l’envoi peut être réalisé directement vers le serveur de l’attaquant défini lors de l’initialisation des sessions réseau.
En solution de repli, les chercheurs mentionnent aussi une exfiltration par DNS : les données sont chiffrées puis codées en paquets via Base32. Cette redondance augmente la probabilité de récupération des informations même en cas de blocage partiel.
Indicateurs et défense : agir sur plusieurs couches
Proofpoint attribue la campagne à TA488 (Laundry Bear, Void Blizzard) en se basant sur des chevauchements de comportement avec les activités liées à ZimReaper, ainsi que sur l’usage d’exploits XSS à déclenchement « half-click » visant les lecteurs webmail.
Les chercheurs ont publié un ensemble réduit d’indicateurs de compromission incluant des domaines utilisés et des éléments liés au corps HTML associé à l’exploitation CVE-2026-42897, ainsi que des aspects de la charge utile OWAReaper.
Recommandation opérationnelle
Ce type de scénario illustre pourquoi la protection ne peut pas reposer sur un seul contrôle. Les e-mails paraissent « propres », l’exécution se produit au moment de l’ouverture, et la persistance peut survivre à des actions de récupération.
Pour réduire les risques, les équipes de sécurité doivent vérifier que les alertes et les règles de détection couvrent les événements liés aux webmails, aux anomalies de permissions côté serveur et aux comportements de backdoor (par exemple via l’exfiltration). L’objectif est d’empêcher les intrusions de passer inaperçues.
Conclusion
Le exploit Exchange OWA mis en avant dans cette campagne montre comment une vulnérabilité XSS peut être transformée en accès durable à une boîte mail. Avec OWAReaper, les attaquants combinent exécution lors de l’ouverture, persistance côté serveur et mécanismes secondaires via cache, tout en conservant des leurres peu visibles.
Face à ce type de menace, la meilleure défense consiste à combiner correction des vulnérabilités, durcissement des configurations, et surveillance active multi-couches afin que les signaux ne soient pas manqués.
