Laundry Bear frappe avec un zero-day sur Exchange OWA : espionnage persistant et invisible

Introduction

Le groupe APT russe connu sous le nom de « Laundry Bear » (alias Void Blizzard, suivi par Proofpoint sous le nom de TA488) a mené une campagne d'espionnage sophistiquée en exploitant une vulnérabilité zero‑day dans Microsoft Exchange Outlook Web Access (OWA). Selon le rapport publié le 29 juillet 2026, la faille (CVE‑2026‑42897) a été activement utilisée depuis mars 2026, soit près de deux mois avant l'avis de Microsoft du 14 mai 2026. L'attaque, basée sur une faille XSS dans le corps des e-mails, permettait l'exécution de code JavaScript d'un simple clic, garantissant un accès prolongé aux boîtes aux lettres et une persistance à plusieurs niveaux difficile à éradiquer.

Analyse technique

La vulnérabilité réside dans le moteur de désinfection HTML côté serveur d’OWA : un filtrage insuffisant des messages électroniques permettait d’insérer du code JavaScript malveillant dans le corps d’un e‑mail. À l’ouverture du message (attaque « half‑click »), le code s’exécutait dans le contexte du navigateur de la victime, sans aucune interaction supplémentaire. Les e‑mails véhiculaient un loader JavaScript, avec des charges utiles codées en Base64 dissimulées dans des URL apparemment anodines (icônes de réseaux sociaux).

La porte dérobée distribuée, nommée OWAReaper, opère entièrement dans le volet de lecture OWA, effaçant ses propres traces de l’e‑mail d’origine et désactivant les pop‑ups et le clic droit pour entraver l’analyse. Ses fonctionnalités principales incluent :

• Vol d’identifiants et de jetons OAuth via un complément Outlook disposant de l’autorisation « ReadWriteMailbox », qui permet d’accéder à toutes les boîtes aux lettres de l’organisation une fois installé.
• Persistance côté serveur : en accordant des autorisations de « Propriétaire » à l’utilisateur prédéfini « Default » sur chaque dossier de la boîte aux lettres, cela rend l’accès résistant au changement de mot de passe ou à la réinitialisation du client.
• Persistance côté client : active le cache OWA et injecte un iframe malveillant dans l’IndexedDB, réexécutant le code à chaque nouvelle ouverture du message infecté, même depuis le cache.
• Communication C2 : interroge toutes les 24 heures l’API GitHub Commit Search à la recherche de messages chiffrés liés à l’e‑mail de la victime, ou analyse les e‑mails déjà présents dans la boîte.
• Exfiltration : principalement via HTTPS vers des domaines CDN d’images avec des chemins chiffrés en AES‑CTR, avec un repli direct vers le serveur de l’attaquant ou via des requêtes DNS avec des charges utiles en Base32.

Impact

La gravité est critique : l’attaque est facilitée (half‑click), exécute du code dans le navigateur et établit de multiples mécanismes de persistance. Les conséquences incluent :

• Un accès prolongé et inaperçu aux boîtes aux lettres, même après rotation des identifiants ou réinstallation du système d’exploitation.
• Un vol massif d’identifiants, de jetons OAuth et de contenus sensibles, avec la possibilité de mouvement latéral en exploitant des comptes légitimes de l’organisation.
• Secteurs touchés : administrations publiques (États‑Unis et Europe), télécommunications, finance, hôtellerie et aérospatiale.

Atténuation

Pour se protéger, il est nécessaire d’adopter immédiatement les mesures suivantes :

• Appliquer le correctif Microsoft pour CVE‑2026‑42897 (avis du 14 mai 2026).
• Vérifier et supprimer les éventuelles autorisations anormales accordées à l’utilisateur « Default » sur les dossiers Exchange (ex. « Propriétaire »).
• Surveiller et bloquer les compléments Outlook avec des autorisations excessives (en particulier « ReadWriteMailbox ») en utilisant les stratégies de restriction d’Office 365.
• Inspecter le trafic réseau vers des domaines CDN suspects ou des requêtes DNS contenant des charges utiles encodées.
• Limiter l’utilisation d’OWA si ce n’est pas indispensable et renforcer les contrôles anti‑XSS sur les e‑mails entrants (ex. en-tête Content‑Security‑Policy, désinfection côté client).

FAQ

1. Qu’est‑ce qui rend CVE‑2026‑42897 différente des autres vulnérabilités XSS ?
La faille réside dans le processus de désinfection HTML d’Exchange OWA côté serveur et permet l’exécution de JavaScript à l’ouverture de l’e‑mail (half‑click), sans aucune autre interaction. De plus, elle active une porte dérobée qui opère exclusivement dans le volet de lecture et garantit une persistance multiple, ce qui la rend exceptionnellement insidieuse.

2. Comment puis‑je vérifier si mon organisation a été compromise ?
Vérifiez les autorisations des dossiers Exchange à la recherche de l’utilisateur « Default » avec des autorisations suspectes (ex. Propriétaire). Inspectez la liste des compléments Outlook installés, en portant une attention particulière à ceux disposant de l’autorisation « ReadWriteMailbox ». Surveillez les requêtes HTTP vers des domaines CDN inconnus ou les requêtes DNS avec des motifs anormaux (Base32). Enfin, examinez les journaux d’accès aux boîtes aux lettres pour des activités à des heures inhabituelles.

3. Le correctif Microsoft résout‑il également les mécanismes de persistance déjà actifs ?
Non, le correctif corrige la vulnérabilité d’entrée (XSS), mais ne supprime pas automatiquement les modifications persistantes déjà apportées. Il est nécessaire de révoquer manuellement les autorisations anormales de l’utilisateur « Default », de désactiver les compléments malveillants et, dans certains cas, de recréer les boîtes aux lettres compromises. Une activité de remédiation post‑correctif approfondie est recommandée.