Campanha explora falha de XSS no OWA
A Proofpoint identificou uma campanha atribuída ao Laundry Bear, também conhecido como Void Blizzard e rastreado pela empresa como TA488. Segundo a reportagem, o grupo explora a CVE-2026-42897, uma vulnerabilidade de cross-site scripting (XSS) no Outlook Web Access (OWA), para entregar o backdoor chamado OWAReaper.
A vulnerabilidade pode permitir a execução de JavaScript no contexto do navegador quando a pessoa abre uma mensagem especialmente preparada no OWA. A Microsoft publicou um alerta sobre a falha em 14 de maio; de acordo com a reportagem, o ator já a explorava como zero-day.
A atividade observada pela Proofpoint atingiu organizações diversas, incluindo entidades governamentais nos Estados Unidos e na Europa, além de empresas dos setores de telecomunicações, finanças, hotelaria e aeroespacial.
E-mails usam temas rotineiros e código embutido
As mensagens observadas abordavam assuntos de interesse dos alvos, como análises de cadeia de suprimentos, atualizações de pesquisa e indicadores de desempenho dos mercados de turismo e gás. A reportagem relata que não havia URLs ou anexos suspeitos aparentes.
Os e-mails continham um carregador JavaScript e blocos de payload codificados em Base64, inseridos em URLs de ícones de redes sociais após o caractere “#”. A falha decorre da sanitização inadequada de HTML no corpo das mensagens, o que pode ser aproveitado para inserir HTML e JavaScript maliciosos.
Segundo a Proofpoint, a infraestrutura da campanha OWAReaper foi criada em março, quase dois meses antes do alerta da Microsoft.
Backdoor busca manter acesso à caixa postal
O OWAReaper é executado no painel de leitura do Outlook Web Access. Conforme descrito pela Proofpoint, ele usa APIs do Outlook para reescrever a mensagem no servidor Exchange e remover o conteúdo do exploit. Durante a execução, também desabilita pop-ups e o clique com o botão direito no OWA.
O malware coleta o endereço de e-mail, o nome de usuário e configurações do Outlook da conta comprometida. Ele também tenta obter credenciais de acesso por meio da criação de elementos invisíveis no DOM, aguardando o preenchimento automático do navegador.
A Proofpoint afirmou que o grupo pode manter acesso à caixa postal mesmo após a restauração do sistema a partir de uma imagem limpa ou a troca das credenciais. Um dos mecanismos verifica complementos do Outlook com permissão ReadWriteMailbox e os utiliza para obter tokens OAuth por meio da operação GetClientAccessToken.
Permissões e canais de comando ampliam o alcance
A reportagem descreve que o OWAReaper chama a operação UpdateFolder para conceder permissões de nível Owner ao usuário predefinido “Default” em todas as pastas de e-mail. Com isso, invasores podem acessar a caixa postal a partir de qualquer conta autenticada na organização. Como essas permissões ficam configuradas no servidor, a alteração de credenciais ou a reinstalação do sistema afetado não revoga esse acesso, segundo a pesquisa.
Há ainda um mecanismo de persistência baseado em cache: o malware injeta um iframe malicioso no HTML de mensagens armazenadas no IndexedDB offline do OWA. Esse iframe é executado quando a vítima abre uma mensagem contaminada a partir do cache.
Para comando e controle, uma das opções usa mensagens de commit no GitHub. A cada 24 horas, o malware consulta a API de busca de commits em busca de mensagens criptografadas que sigam um formato específico e incluam o endereço de e-mail do alvo. A exfiltração principal descrita usa HTTPS, com caminhos de URI criptografados por AES-CTR e encaminhados por determinados domínios de CDN de imagens.
Ponto de atenção para gestores
Os fatos relatados reforçam que a abertura de uma mensagem no webmail pode ser suficiente para acionar uma exploração de XSS, sem a presença de anexos ou links evidentemente suspeitos. Para as empresas, o caso exige atenção aos acessos e às permissões configuradas nas caixas postais, incluindo permissões atribuídas a complementos e a pastas de e-mail.
Como a campanha descrita inclui persistência no lado do servidor e no cache do OWA, a análise de incidentes deve considerar tanto as configurações da caixa postal quanto os dados armazenados pelo cliente web. A Proofpoint também publicou indicadores de comprometimento, incluindo domínios usados e o corpo HTML associado ao exploit e ao payload do OWAReaper.