Russische Akteure greifen über Outlook-Web-Access-Lücke an

Gefahr durch Cross-Site-Scripting in Exchange

IT-Sicherheitsforscher warnen vor einer gezielten Kampagne russischer Cyberkrimineller, die eine Schwachstelle in Microsoft Outlook Web Access (OWA) ausnutzen. Die Sicherheitslücke ermöglicht es Angreifern, bösartigen JavaScript-Code auszuführen, ohne dass der Nutzer aktiv auf einen Link klicken oder einen Anhang öffnen muss. Es genügt bereits das bloße Anzeigen einer präparierten E-Mail im Browser, um den Angriff zu initiieren.

Die Schwachstelle, die unter der Kennung CVE-2026-42897 geführt wird, basiert auf einer unzureichenden Filterung von Eingaben bei der Generierung von Webseiten. Mit einem CVSS-Wert von 8,1 wird das Risiko als hoch eingestuft. Microsoft hat bestätigt, dass die Lücke bereits ohne vorherige Authentifizierung für Spoofing-Angriffe missbraucht werden kann.

Die Akteure hinter der Kampagne

Die für die Angriffe verantwortliche Gruppierung – bekannt unter Namen wie TA488, Laundry Bear oder Void Blizzard – zeigt laut Analysen des Sicherheitsunternehmens Proofpoint eine deutliche Professionalisierung. Die Angreifer setzen verstärkt auf sogenannte „Halb-Klick“-Exploits. Diese zeichnen sich dadurch aus, dass sie die Kompromittierung von Benutzerkonten mit minimaler Interaktion des Opfers ermöglichen.

Das Zielspektrum der Kampagne ist breit gefächert und umfasst sowohl staatliche Stellen in den USA und Europa als auch Unternehmen aus kritischen Branchen wie dem Finanzwesen, der Telekommunikation, der Luft- und Raumfahrt sowie dem Gastgewerbe.

OWAReaper: Persistente Bedrohung im Browser

Ein zentrales Element der Angriffe ist eine bisher unbekannte Browser-Malware, die von Proofpoint als „OWAReaper“ bezeichnet wird. Diese Schadsoftware zeichnet sich durch ihre unauffällige Arbeitsweise aus: Sie operiert direkt im Kontext des OWA-Browsers und hinterlässt auf dem eigentlichen Host-System kaum Spuren.

Die Persistenz der Malware ist besonders kritisch. OWAReaper übersteht sowohl den Neustart des Browsers als auch das Ändern von Zugangsdaten. Selbst eine komplette Neuinstallation der betroffenen Rechner bietet keinen Schutz, da die Malware im OWA-Kontext verankert bleibt. Zur Kommunikation mit den Command-and-Control-Servern nutzt die Software zwei verschiedene Protokolle, was die Datenexfiltration erschwert.

Hintergrund und zeitlicher Ablauf

Erste Anzeichen dieser Kampagne konnten von Sicherheitsforschern bereits auf den März dieses Jahres zurückgeführt werden. Da Microsoft die Schwachstelle erst Mitte Mai offiziell bestätigte und als Zero-Day-Lücke einstufte, ist davon auszugehen, dass die Angreifer die Sicherheitslücke über einen längeren Zeitraum hinweg unbemerkt ausnutzen konnten. Betroffen sind primär die Exchange Server-Versionen 2016, 2019 sowie die Subscription Edition (SE).

Empfohlene Schutzmaßnahmen für Administratoren

Nachdem Microsoft zunächst lediglich Workarounds zur Absicherung der Systeme kommuniziert hatte, stehen mittlerweile offizielle Software-Updates bereit, die dringend installiert werden sollten. Über die reine Aktualisierung hinaus empfehlen Sicherheitsexperten weiterführende Schritte zur Bereinigung und Absicherung:

* **Überprüfung von EWS-Token:** Administratoren sollten Exchange-Web-Services-Token (EWS) für betroffene Add-ins einer genauen Prüfung unterziehen und gegebenenfalls zurückziehen.

* **Rechteverwaltung:** Eine Überprüfung und Anpassung der Exchange-Ordnerrechte für Standard-Nutzer ist ratsam.

* **Bereinigung von Endpunkten:** Das Löschen spezifischer Keys, wie der IndexedDB von OWA (owa_offline_db) sowie der PageDataPayload.OwaUserDefaultSettings localStorage, wird empfohlen.

* **Netzwerküberwachung:** Die Blockade ausgehender Verbindungen zu bekannten Command-and-Control-Servern kann die Kommunikation der Malware unterbinden. Entsprechende Indikatoren (Indicators of Compromise) sind in den detaillierten Analysen der Sicherheitsanbieter aufgeführt.

Die Kombination aus schneller Patch-Verwaltung und einer proaktiven Überwachung der Exchange-Umgebung ist derzeit der effektivste Weg, um sich gegen die anhaltenden Aktivitäten von Gruppierungen wie Void Blizzard zu verteidigen.