E-Mail öffnen reicht: Russische Hacker attackieren Outlook-Nutzer

Bedrohung durch Half-Click-Exploits

Sicherheitsforscher des Unternehmens Proofpoint haben eine gefährliche Angriffskampagne aufgedeckt, die sich gezielt gegen Nutzer von Microsoft Outlook Web Access (OWA) richtet. Hinter den Attacken steht die russische Hackergruppe Laundry Bear, die in Fachkreisen auch unter den Bezeichnungen TA488 oder Void Blizzard bekannt ist. Die Angreifer nutzen eine spezifische Sicherheitslücke aus, um Schadcode in die Postfächer von Behörden und Unternehmen in den USA und Europa einzuschleusen.

Das Besondere an dieser Methode ist die geringe Interaktionsschwelle für die Opfer. Es handelt sich um einen sogenannten Half-Click-Exploit. Im Gegensatz zu klassischen Angriffen, bei denen ein Nutzer auf einen schädlichen Link klicken oder einen infizierten Anhang öffnen muss, reicht hier das bloße Öffnen der E-Mail innerhalb der OWA-Umgebung aus, um den Schadcode zu aktivieren.

Technische Hintergründe der Schwachstelle

Die Grundlage für diese Angriffe bildet die Sicherheitslücke mit der Kennung CVE-2026-42897. Dabei handelt es sich um ein Cross-Site-Scripting-Problem (XSS) innerhalb des Microsoft Exchange Servers. Microsoft hat bereits im Mai 2026 einen ersten Patch veröffentlicht, jedoch in den darauffolgenden Monaten mehrfach nachgebessert. Aktuell empfiehlt der Hersteller dringend die Installation der Juli-Updates, um die Schwachstelle vollständig zu schließen.

Da die ersten Aktivitäten der Hackergruppe bis in den März 2026 zurückreichen, gehen Experten davon aus, dass Laundry Bear die Sicherheitslücke bereits als Zero-Day-Exploit nutzte, bevor diese öffentlich bekannt wurde und durch Microsoft adressiert werden konnte.

Die Malware OWAReaper: Persistenz im Browser

Sobald eine präparierte E-Mail geöffnet wird, initiiert der Exploit eine Infektionskette, die zur Installation der Javascript-basierten Malware namens OWAReaper führt. Diese Schadsoftware zeichnet sich durch eine hohe Effizienz aus, da sie ausschließlich innerhalb des Webbrowsers agiert. Da sie keine Spuren auf dem eigentlichen Betriebssystem des Host-Rechners hinterlässt, ist sie für herkömmliche Sicherheitslösungen schwer zu identifizieren.

Ein weiteres Merkmal von OWAReaper ist die Persistenz. Die Malware übersteht laut den Analysen von Proofpoint sowohl den Neustart des Browsers als auch den Wechsel von Anmeldedaten. Selbst eine vollständige Neuinstallation des Geräts bietet laut den Berichten keinen Schutz vor der Infektion, sofern der Zugriff auf das kompromittierte OWA-Konto bestehen bleibt. Die Exfiltration von Daten erfolgt über redundante Kommunikationskanäle, was die Überwachung und Blockade der Angriffe zusätzlich erschwert.

Betroffene Sektoren und Sicherheitsmaßnahmen

Die Zielgruppe der Angreifer ist breit gefächert. Neben staatlichen Behörden stehen vor allem Unternehmen aus sensiblen Branchen im Fokus. Dazu zählen unter anderem:

* Telekommunikationsanbieter

* Finanzdienstleister

* Gastgewerbe

* Luft- und Raumfahrtindustrie

Angesichts der Schwere der Angriffe haben Sicherheitsbehörden verschiedener Länder bereits gemeinsame Warnungen herausgegeben. Diese betrafen zuletzt auch die Ausnutzung einer weiteren Schwachstelle in der Kollaborationssoftware Zimbra, bei der Laundry Bear ebenfalls auf Half-Click-Methoden setzte.

Für IT-Administratoren ergibt sich daraus ein dringender Handlungsbedarf. Neben der sofortigen Installation der aktuellen Sicherheitsupdates für Microsoft Exchange Server ist eine gründliche forensische Untersuchung der Systeme ratsam. Da die Malware eine persistente Umgebung schafft, sollte geprüft werden, ob bereits unbefugte Zugriffe auf Postfächer stattgefunden haben, um eine dauerhafte Kompromittierung auszuschließen.