Sicherheitsforscher von Proofpoint haben eine neue Spionagekampagne identifiziert, bei der eine russische Hackergruppe ein hochgradig resistentes Backdoor-Implantat gegen Microsoft Exchange Server einsetzt. Die unter den Bezeichnungen TA488, Void Blizzard oder Laundry Bear bekannte Gruppierung nutzt dabei eine Schwachstelle in Outlook Web Access (OWA), um das als \u201eOWAReaper\u201c bezeichnete Schadprogramm zu installieren. Dieses zeichnet sich durch eine au\u00dfergew\u00f6hnliche Persistenz aus und ist in der Lage, selbst eine vollst\u00e4ndige Neuinstallation des Betriebssystems (Disk-Reimaging) zu \u00fcberstehen.<\/p>\n
Gezielte Kampagne gegen Beh\u00f6rden und kritische Sektoren<\/p>\n
Die Angreifer starteten ihre aktive Kampagne am 22. Juli 2026. Dabei nahmen sie gezielt Regierungsstellen in den USA und der Europ\u00e4ischen Union sowie Unternehmen aus den Bereichen Telekommunikation, Finanzen, Gastgewerbe und Luftfahrt ins Visier. Erste Vorbereitungen f\u00fcr diese Operation begannen bereits im M\u00e4rz 2026, als die Hacker damit begannen, die notwendige technische Infrastruktur aufzubauen.<\/p>\n
Technisch basiert der Angriff auf der Sicherheitsl\u00fccke CVE-2026-42897. Dabei handelt es sich um eine Cross-Site-Scripting-Schwachstelle (XSS) in Outlook Web Access, die Microsoft Exchange Server der Versionen 2016 und 2019 sowie die Subscription Edition betrifft. Die Forscher stufen den Angriff als \u201eHalf-Click-Exploit\u201c ein, da die Schadsoftware bereits dann ausgel\u00f6st wird, wenn ein Benutzer eine pr\u00e4parierte E-Mail lediglich im Lesefenster von OWA \u00f6ffnet.<\/p>\n
Funktionsweise und extreme Persistenz von OWAReaperLesen Sie auch:Phishing-Angriffe: \u00dcber 50% aller Sicherheitsvorf\u00e4lle beginnen damit<\/a><\/p>\n Sobald das Implantat aktiv ist, agiert es im Kontext des Browsers beziehungsweise der OWA-Sitzung. OWAReaper ist darauf spezialisiert, sensible Zugangsdaten und OAuth-Tokens zu entwenden. Zudem manipuliert die Schadsoftware die Berechtigungen innerhalb des E-Mail-Systems und erteilt dem \u201eDefault\u201c-Benutzer weitreichende Besitzerrechte (Owner-Rechte) an betroffenen Mailboxen.<\/p>\n Anzeige<\/p>\n Immer mehr Unternehmen werden Opfer solch raffinierter Cyberangriffe \u2013 diese Checkliste hilft Ihnen, es zu verhindern. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Sicherheitsl\u00fccken proaktiv schlie\u00dfen und Ihr Unternehmen langfristig absichern. Gratis Cyber-Security E-Book jetzt herunterladen<\/a><\/p>\n Die besondere Gefahr von OWAReaper liegt in seiner Persistenzstrategie. Das Implantat nutzt Mechanismen wie localStorage und IndexedDB des Webbrowsers sowie tiefgreifende Berechtigungs\u00e4nderungen auf dem Exchange-Server, um dauerhaft im System zu verbleiben. Laut den Analysen von Proofpoint \u00fcbersteht die Schadsoftware nicht nur den Neustart des Browsers oder die \u00c4nderung von Passw\u00f6rtern, sondern bleibt selbst nach einer Rotation von Zugangsdaten oder einem Re-Imaging der Festplatten aktiv.<\/p>\n Die Kommunikation mit den Steuerungs-Servern (Command-and-Control, C2) erfolgt \u00fcber unkonventionelle Kan\u00e4le. Die Hacker nutzen hierf\u00fcr unter anderem GitHub-Commits und E-Mails. Die Exfiltration der entwendeten Daten wird \u00fcber HTTPS-Verbindungen sowie DNS-Tunneling abgewickelt.<\/p>\n Patch-Status und empfohlene Sicherheitsma\u00dfnahmen<\/p>\n Microsoft hat auf die Schwachstelle CVE-2026-42897 reagiert und im Juli 2026 einen Sicherheitspatch ver\u00f6ffentlicht. Die Bewertung der Schwere der L\u00fccke geht in Fachkreisen auseinander: W\u00e4hrend Microsoft die Schwachstelle mit einem CVSS-Wert von 8.1 einstuft, bewertet die National Vulnerability Database (NVD) das Risiko mit 6.1.<\/p>\n Anzeige<\/p>\n