Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Russian hackers exploit Exchange OWA zero-day for long-term mailbox access

1 minute de lecture

Mis à jour :

Espionnage via OWA : La menace OWAReaper

Le groupe de cyberespionnage russe « Laundry Bear » (ou TA488) mène actuellement une campagne sophistiquée ciblant des entités gouvernementales, financières, aéronautiques et de télécommunications aux États-Unis et en Europe. Les attaquants utilisent une technique dite de « half-click » : il suffit à la victime d’ouvrir un e-mail malveillant dans l’interface Outlook Web Access (OWA) pour déclencher l’infection.

Points clés :

  • Vecteur d’attaque : Exploitation d’une vulnérabilité XSS (Cross-Site Scripting) permettant d’exécuter du JavaScript arbitraire.
  • Charge utile : Déploiement de la porte dérobée « OWAReaper », un outil hautement sophistiqué capable d’auto-nettoyage et de persistance à long terme.
  • Persistance : Le malware modifie les permissions côté serveur sur les dossiers de messagerie (accès « Propriétaire ») et injecte des iframes malveillantes dans le cache IndexedDB de l’utilisateur. Ces mécanismes rendent l’accès des attaquants persistant, même après une réinitialisation du poste ou un changement de mot de passe.
  • Command & Control (C2) : Utilisation de canaux variés, notamment les messages de commit GitHub et le parsing d’e-mails, pour recevoir des instructions.
  • Exfiltration : Plusieurs méthodes sont prévues, dont le HTTPS via des CDN et, en cas d’échec, une exfiltration via DNS.

Vulnérabilité identifiée :

  • CVE-2026-42897 : Faille XSS dans OWA causée par une mauvaise désinfection du code HTML dans le corps des e-mails.

Recommandations :

  • Mise à jour : Appliquer immédiatement les correctifs fournis par Microsoft suite à l’avis du 14 mai concernant la CVE-2026-42897.
  • Surveillance : Inspecter les permissions des dossiers de messagerie pour détecter toute attribution anormale de droits « Propriétaire » à des comptes tiers ou suspects.
  • Analyse des logs : Surveiller les requêtes vers les API GitHub suspectes depuis l’environnement de messagerie et les flux de trafic DNS inhabituels (exfiltration potentielle).
  • Sensibilisation : Bien que l’attaque ne nécessite aucun clic sur un lien ou une pièce jointe, renforcer la vigilance sur les e-mails entrants, même ceux paraissant banals.

Source

Vous pourriez aimer