Laundry Bear nutzt Zero-Day-Schwachstelle in Exchange OWA: persistente und unsichtbare Spionage

Einleitung

Die russische APT-Gruppe „Laundry Bear“ (alias Void Blizzard, von Proofpoint als TA488 erfasst) führte eine ausgeklügelte Spionagekampagne durch, indem sie eine Zero‑Day-Schwachstelle in Microsoft Exchange Outlook Web Access (OWA) ausnutzte. Laut dem am 29. Juli 2026 veröffentlichten Bericht wurde die Schwachstelle (CVE‑2026‑42897) bereits seit März 2026 aktiv ausgenutzt – fast zwei Monate vor der Microsoft-Sicherheitsempfehlung vom 14. Mai 2026. Der Angriff, der auf einem XSS im E‑Mail-Text basierte, ermöglichte die Ausführung von JavaScript-Code mit nur einem einzigen Klick, was anhaltenden Zugriff auf Postfächer und eine mehrschichtige, schwer zu beseitigende Persistenz gewährte.

Technische Analyse

Die Schwachstelle liegt in der serverseitigen HTML-Bereinigungs-Engine von OWA: Eine unzureichende Filterung von E‑Mail-Nachrichten ermöglichte es, schädlichen JavaScript-Code in den E‑Mail-Text einzuschleusen. Beim Öffnen der Nachricht („Half‑Click“-Angriff) wurde der Code im Browserkontext des Opfers ausgeführt, ohne dass eine weitere Interaktion erforderlich war. Die E‑Mails enthielten einen JavaScript-Loader, wobei Base64-codierte Nutzdaten in scheinbar harmlosen URLs (Icons von sozialen Medien) versteckt waren.

Die verbreitete Hintertür namens OWAReaper agiert ausschließlich im OWA-Lesebereich, löscht ihre eigenen Spuren aus der ursprünglichen E‑Mail und deaktiviert Pop‑ups sowie die rechte Maustaste, um die Analyse zu erschweren. Zu den Hauptfunktionen gehören:

• Diebstahl von Anmeldeinformationen und OAuth-Tokens über ein Outlook-Add‑in mit „ReadWriteMailbox“-Berechtigung, das nach der Installation Zugriff auf alle Postfächer der Organisation gewährt.
• Serverseitige Persistenz: Durch Vergabe von „Owner“-Berechtigungen für den vordefinierten Benutzer „Default“ auf jedem Ordner des Postfachs wird der Zugriff auch nach Passwortänderungen oder Client-Neuinstallation aufrechterhalten.
• Clientseitige Persistenz: Aktiviert den OWA-Cache und injiziert ein bösartiges iframe in die IndexedDB, wodurch der Code bei jedem erneuten Öffnen der infizierten Nachricht – auch aus dem Cache – erneut ausgeführt wird.
• C2-Kommunikation: Fragt alle 24 Stunden die GitHub Commit Search API nach verschlüsselten Nachrichten ab, die mit der E‑Mail des Opfers verknüpft sind, oder analysiert bereits im Postfach vorhandene E‑Mails.
• Exfiltration: Primär über HTTPS an Bild-CDN-Domains mit AES‑CTR-verschlüsselten Pfaden; ein Fallback erfolgt direkt an den Angreifer-Server oder via DNS-Abfragen mit Base32-Nutzdaten.

Auswirkungen

Der Schweregrad ist kritisch: Der Angriff ist einfach durchzuführen (Half‑Click), führt Code im Browser aus und etabliert mehrere Persistenzmechanismen. Zu den Auswirkungen zählen:

• Lang anhaltender und unbemerkter Zugriff auf Postfächer, selbst nach Rotation der Anmeldeinformationen oder Neuinstallation des Betriebssystems.
• Massenhafter Diebstahl von Anmeldeinformationen, OAuth-Tokens und sensiblen Inhalten, mit der Möglichkeit zur lateralen Bewegung über legitime Organisationskonten.
• Betroffene Branchen: Behörden (USA und Europa), Telekommunikation, Finanzwesen, Gastgewerbe und Luft‑/Raumfahrt.

Gegenmaßnahmen

Zum Schutz sind unverzüglich folgende Maßnahmen zu ergreifen:

• Einspielen des Microsoft-Patches für CVE‑2026‑42897 (Sicherheitsempfehlung vom 14. Mai 2026).
• Überprüfung und Entfernung ungewöhnlicher Berechtigungen, die dem Benutzer „Default“ auf Exchange-Ordnern gewährt wurden (z. B. „Owner“).
• Überwachung und Blockierung von Outlook-Add‑ins mit übermäßigen Berechtigungen (insbesondere „ReadWriteMailbox“) mithilfe der Office 365-Einschränkungsrichtlinien.
• Untersuchung des Netzwerkverkehrs auf verdächtige CDN-Domains oder DNS-Abfragen mit codierten Nutzdaten.
• Einschränkung der OWA-Nutzung, falls nicht zwingend erforderlich, und Verstärkung der Anti-XSS-Kontrollen für eingehende E‑Mails (z. B. Content‑Security‑Policy-Header, clientseitige Bereinigung).

FAQ

1. Was unterscheidet CVE‑2026‑42897 von anderen XSS-Schwachstellen?
Die Schwachstelle liegt im serverseitigen HTML-Bereinigungsprozess von Exchange OWA und ermöglicht die Ausführung von JavaScript beim Öffnen der E‑Mail (Half‑Click) ohne weitere Interaktion. Darüber hinaus wird eine Hintertür aktiviert, die ausschließlich im Lesebereich agiert und mehrfache Persistenz sicherstellt, was sie außerordentlich heimtückisch macht.

2. Wie kann ich feststellen, ob meine Organisation kompromittiert wurde?
Überprüfen Sie die Berechtigungen der Exchange-Ordner auf den Benutzer „Default“ mit verdächtigen Rechten (z. B. Owner). Untersuchen Sie die Liste der installierten Outlook-Add‑ins mit besonderem Augenmerk auf „ReadWriteMailbox“-Berechtigungen. Überwachen Sie HTTP-Anfragen an unbekannte CDN-Domains oder DNS-Abfragen mit ungewöhnlichen Mustern (Base32). Prüfen Sie schließlich die Zugriffsprotokolle der Postfächer auf Aktivitäten zu ungewöhnlichen Zeiten.

3. Behebt der Microsoft-Patch auch bereits aktive Persistenzmechanismen?
Nein, der Patch behebt die Eingangsschwachstelle (XSS), entfernt jedoch nicht automatisch die bereits vorgenommenen persistenten Änderungen. Es ist notwendig, die ungewöhnlichen Berechtigungen des Benutzers „Default“ manuell zu entziehen, die bösartigen Add‑ins zu deaktivieren und in manchen Fällen die kompromittierten Postfächer neu zu erstellen. Eine gründliche Nachpatch-Remediation wird dringend empfohlen.