Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Russian Hackers Exploit Microsoft OWA Flaw to Keep Mailbox Access After Credential Rotation

2 minute de lecture

Mis à jour :

Menace persistante : Exploitation de Microsoft OWA par le groupe Laundry Bear

Le groupe de hackers russes Laundry Bear (alias TA488) cible actuellement des entités gouvernementales et divers secteurs critiques (télécoms, finance, aérospatial) via une attaque par « demi-clic » sur Microsoft Outlook Web Access (OWA). Cette méthode permet une compromission immédiate dès la simple ouverture d’un e-mail, sans nécessiter de téléchargement de fichier ou de clic sur un lien.

Points clés

  • Mode opératoire : Utilisation d’e-mails génériques (analyses de marché, rapports de recherche) pour paraître légitimes. Aucun lien ni pièce jointe n’est présent, réduisant la méfiance de la victime.
  • Implant OWAReaper : Une fois l’e-mail ouvert, un script JavaScript malveillant est exécuté dans le navigateur. Il collecte les identifiants, installe des persistances complexes côté serveur et dans le cache du navigateur, et permet un accès total à la boîte mail.
  • Persistance extrême : L’implant survit à la rotation des mots de passe, au redémarrage du navigateur et même à la réinstallation complète de la machine hôte.
  • Exfiltration et C2 : Communication via GitHub (API de recherche de commits) ou par e-mails chiffrés. Exfiltration de données via HTTPS ou tunneling DNS.

Vulnérabilité exploitée

  • CVE-2026-42897 : Une faille de type Cross-Site Scripting (XSS) dans Microsoft OWA (score CVSS : 8.1). L’exploitation aurait débuté dès mai 2026, potentiellement comme une attaque zero-day.

Recommandations

  • Appliquer les correctifs : S’assurer que les serveurs Exchange sont à jour avec les derniers correctifs de sécurité fournis par Microsoft pour neutraliser la vulnérabilité CVE-2026-42897.
  • Surveillance réseau : Détecter les requêtes anormales vers l’API GitHub ou les comportements inhabituels liés aux requêtes DNS (tunneling DNS).
  • Gestion des accès : Auditer régulièrement les autorisations des compléments Outlook (add-ins) et les permissions de boîte aux lettres (OAuth tokens).
  • Sensibilisation : Bien que l’attaque ne nécessite aucune interaction active (clic/téléchargement), il est crucial d’informer les utilisateurs sur l’existence de ces vecteurs d’attaque passifs et de limiter l’exposition d’OWA là où cela est possible.
  • Audit serveur : En cas de compromission suspectée, la réinitialisation des mots de passe est insuffisante. Il est impératif d’intervenir directement sur le serveur Exchange pour supprimer les accès persistants et les règles de boîte aux lettres créées par l’attaquant.

Source

Vous pourriez aimer