Auf den Punkt: TA488 infiziert mailboxen mit OWAReaper über CVE-2026-42897 in Outlook Web Access durch beiläufiges Öffnen von E-Mails und sichert sich persistente Zugriffe über Browser-lokale Speicher und gestohlene OAuth-Token.
Die russland-nahe Hackergruppe TA488 versendet seit Juli 2026 präparierte E-Mails an US- und europäische Behörden sowie Unternehmen in kritischen Sektoren. Eine Schwachstelle in Outlook Web Access genügt für eine Infektion mit der neuen Backdoor OWAReaper, die vollständig im Browser läuft und Postfächer langfristig kompromittiert.
Sicherheitsforscher von Proofpoint haben eine neue Angriffskampagne der Gruppe TA488 (auch bekannt als Void Blizzard oder Laundry Bear) dokumentiert. Seit dem 22. Juli 2026 versendet die Gruppe manipulierte E-Mails an Regierungseinrichtungen in den USA und Europa sowie an Unternehmen aus Telekommunikation, Finanzwesen, Gastgewerbe und Luft- und Raumfahrt. Die E-Mails tarnen sich als automatisierte Informationsdienste zu harmlosen Themen wie Halbleiter-Lieferketten oder Tourismuskennzahlen und enthalten weder Links noch klassische Anhänge. Dieser Mechanismus macht sie schwer erkennbar, da betroffene Nutzer die Nachrichten nur selten an Sicherheitsteams melden.
Die Attacke nutzt CVE-2026-42897, eine Cross-Site-Scripting-Lücke in Outlook Web Access. Eingebetteter JavaScript-Code wird automatisch beim Öffnen der E-Mail im Webmail-Client ausgeführt. Proofpoint vermutet, dass TA488 die Schwachstelle als Zero-Day ausgenutzt hat: Erste Infrastruktur der Kampagne entstand bereits im März 2026, während Microsoft den offiziellen Patch erst im Mai 2026 veröffentlichte.
Die Backdoor OWAReaper läuft vollständig im Lesebereich von Outlook Web Access ab und hinterlässt dadurch keine Spuren auf dem befallenen Gerät. Die Malware erfasst Zugangsdaten über unsichtbare, von der Browser-Autovervollständigung befüllte Eingabefelder und sichert sich persistente Netzwerkzugriffe über drei unabhängige Persistenzmechanismen: eine verschlüsselte Kopie im localStorage des Browsers, gestohlene OAuth-Token über kompromittierte Outlook-Add-ins sowie einen versteckten iFrame in zwischengespeicherten Nachrichten der Offline-Datenbank. Durch den Diebstahl der OAuth-Token verschafft sich die Malware zudem dem Standardnutzer des jeweiligen Exchange-Tenants Besitzerrechte auf alle Mailordner – dadurch erhalten theoretisch alle authentifizierten Nutzer der betroffenen Organisation Zugriff auf das kompromittierte Postfach, bis die Berechtigung gezielt entfernt wird.
Proofpoint ordnet OWAReaper als Weiterentwicklung der aus früheren Kampagnen bekannten Malware ZimReaper ein. Der Verzicht auf massenhafte Exfiltration ganzer Postfächer deute auf gestiegenes operatives Sicherheitsbewusstsein hin. Zur Mitigation empfiehlt Proofpoint betroffenen Organisationen, Exchange-Web-Services-Token betroffener Add-ins zu widerrufen, dem Standardnutzer erteilte Ordnerberechtigungen in Exchange zu entziehen, die Offline-Datenbank und verwendete localStorage-Schlüssel zu leeren sowie ausgehende Verbindungen zu bekannten Command-and-Control-Servern der Gruppe zu blockieren oder mit Alarmen zu versehen.
Quelle: www.it-daily.net · Erschienen 30. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.