LONDON (IT BOLTWISE) – Angreifer mit Bezug zu TA488 nutzen eine gepatchte XSS-Schwachstelle in Microsoft Outlook Web Access (OWA), um nach der Passwortrotation dauerhaft Zugriff zu halten. Laut Microsoft wird CVE-2026-42897 (CVSS 8,1) bereits seit Mai 2026 in Angriffen missbraucht. Die neue Schadsoftware OWAReaper läuft im OWA-Lese-Panel, schreibt gezielt E-Mails auf dem Exchange-Server um und speichert Persistenz im Browser. Damit bleibt der Zugriff serverseitig erhalten, selbst wenn Geräte neu aufgesetzt oder Credential-Rotation durchgeführt wird.
Es ist vor allem die Kombination aus einem browserbasierten Exploit und einer bewusst „hartnäckigen“ Persistenz, die die aktuelle Kampagne so brisant macht: Nach einer bereits geschlossenen Lücke in Zimbra beobachten Sicherheitsforscher erneut Ausnutzung, diesmal in Microsoft Outlook Web Access (OWA). Der Dreh- und Angelpunkt ist CVE-2026-42897 mit einem CVSS-Score von 8,1 – eine Cross-Site-Scripting-Schwachstelle, die beim bloßen Aufrufen bzw. Lesen einer manipulierten Nachricht getriggert wird. Solche „half-click“-Ketten sind für Angreifer attraktiv, weil sie die Hemmschwelle für Opfer senken: Statt dass Nutzer aktiv auf Links klicken oder Attachments starten müssen, reicht das Öffnen im relevanten Lesebereich. Microsoft stuft dabei nicht nur die Relevanz der Lücke ein, sondern weist zugleich darauf hin, dass der Missbrauch bereits seit Mai 2026 beobachtet worden sein soll; der laufende Angriff wird zudem ab dem 22. Juli 2026 beschrieben.
Technisch setzt die Kampagne auf generische Lures und kompromittierte Absender, um die Erkennung klassischer Phishing-Signale zu umgehen. Die Nachrichten werden – den Angaben zufolge – sowohl aus adversariellen Proton-Mail-Konten als auch aus zuvor kompromittierten Adressen versandt. Inhaltlich verzichten die E-Mails bewusst auf klare Handlungsaufforderungen, enthalten dafür aber vage Themenbezüge wie Analysen zur Lieferkette, Forschungs-Updates oder Kennzahlen für Tourismus- und Gasmärkte. Gerade das ist ein wiederkehrendes Muster bei halb-klick-basierten Exploit-Chainings: Die Nachricht soll möglichst „echt“ wirken und beim Opfer das unbedachte Öffnen und Querlesen auslösen, während URLs und Anhänge explizit ausgelassen werden. Sobald die betroffene OWA-Ansicht eine anfällige HTML- und Skriptverarbeitung vornimmt, nutzt ein JavaScript-Loader-Mechanismus einen onload-Event, um Fragmente aus dem Restkörper zusammenzusetzen und anschließend als kodiertes JavaScript auszuführen.
Aus der ursprünglichen XSS-Antwort wird bei dieser Kampagne aber nicht nur irgendein temporärer Payload: Im Zentrum steht die neue, datenbank- und browsergetriebene Implant-Familie OWAReaper. Sie wird als evolutionärer Nachfolger von ZimReaper beschrieben, mit gemeinsamen Code- und Verhaltensanteilen, ist jedoch speziell für den Microsoft-Webmail-Kontext gebaut. Die Ausführung erfolgt im OWA-Reading-Pane. Dabei nutzt das Implant den Umstand, dass es innerhalb des OWA-Browsing-Kontexts läuft, und greift über Outlook-APIs auf den Exchange-Server zu: Es überschreibt die betroffene E-Mail so, dass Exploit-Inhalte entfernt werden, und versucht gleichzeitig, die Sichtbarkeit für Nutzer zu reduzieren, etwa durch das Deaktivieren von OWA-Pop-ups und das Unterbinden von Rechtsklick-Funktionalität während der Laufzeit. Zusätzlich erzeugt die Malware eine sessionspezifische Schlüsselkomponente, ermittelt anschließend Ziel-Mailadresse, Benutzername und OWA-Einstellungen und legt unsichtbare Eingabeelemente im DOM an, um gespeicherte Zugangsdaten über die Browser-Autofill-Funktion abzugreifen.
Der entscheidende Punkt für das „warum trotz Rotation“ liegt in zwei Ebenen von Persistenz: einmal clientseitig im Browser und einmal serverseitig über die erlangten Rechte. Auf der Browserseite schreibt die Schadsoftware sich selbst – verschlüsselt – in localStorage und ergänzt einen Entschlüsselungswrapper, sodass sie bei jedem späteren Öffnen eines OWA-Tabs automatisch wieder anspringt. Zusätzlich legt sie einen zweiten Persistenzpfad über ein verstecktes iframe in der Offline-Cache-Struktur von OWA an: Durch Einträge in der IndexedDB kann die Implant-Logik erneut ausgeführt werden, sobald ein bösartiges E-Mail-Objekt aus dem Cache geöffnet wird – auch dann, wenn der Host neu aufgesetzt wurde. Auf der serverseitigen Ebene geht OWAReaper weiter: Es prüft installierte Outlook-Add-ins mit ReadWriteMailbox-Berechtigungen, stiehlt im Trefferfall OAuth-Tokens und erhöht die eigenen Rechte, indem es Owner-level Zugriffsrechte für den Default-User in jedem Mailordner setzt. Damit erhält jeder authentifizierte Nutzer innerhalb derselben Organisation vollständigen Postfachzugriff, solange die Rechte nicht gezielt auf Exchange-Seite entfernt werden; Credential Rotation oder ein vollständiges Re-Image des Geräts allein sollen den Actor nicht evictieren.
Auch bei der Steuerung (C2) und beim Datenabtransport zeigen die Forscher mehrere Ausweichmechanismen, die das Risiko von „Single Point of Failure“-Erkennung verringern sollen. Für Befehle wird einerseits ein GitHub-basierter Kanal beschrieben: Das Skript fragt alle 24 Stunden die Commit-Search-API ab und sucht nach Commit-Nachrichten, die die Zieladresse enthalten. Die gefundenen Daten werden dann mit einer hardcodierten JavaScript-Komponente und einer per Session genutzten AES-Schlüsselkomponente entschlüsselt; ein vier Zeichen langer Header ordnet den Command-Typ zu, etwa das Ersetzen des gesamten Toolkits, das Rotieren der C2-Server oder die Ausführung beliebigen JavaScripts via eval(). Andererseits können Befehle auch direkt über eingehende E-Mails von Angreifern verarbeitet werden, wobei das Implant in der IndexedDB nach Message-Bodies sucht, die ein bestimmtes Muster aus Zieladresse und Base64-Inhalt erfüllen. Für Exfiltration wird primär HTTPS mit AES-CTR verschlüsselten URI-Pfaden genannt; falls das nicht greift, kommt DNS-Label-Tunneling über Abfragen an ein angreifersteuerbares Domain-Setup zum Einsatz.
Ein weiteres Signal für die strategische Planung der Angreifer ist die frühe Infrastruktur-Phase: Den Angaben zufolge wurde die früheste Infrastruktur für diese Kampagne bereits im März 2026 aufgebaut, also zwei Monate bevor Microsoft die Schwachstelle CVE-2026-42897 öffentlich gemacht haben soll. Außerdem wird beschrieben, dass zwischen Februar und dem 22. Juli 2026 keine Aktivität von TA488 beobachtet worden sein soll, was das Timing der sichtbaren Ausnutzung gegenüber der Patch- und Disclosure-Logik plausibel macht. Für Unternehmen verschiebt sich dadurch der Fokus vom reinen „Passwort ändern“ hin zu einer breiteren Schadensbegrenzung: Wer nur Credentials rotiert, aber persistente Rechte und Implantationsspuren nicht konsequent auf Exchange-, Browser- und Add-in-Ebene bereinigt, lässt möglicherweise einen serverseitigen Zugriffspfad offen. Unterm Strich deutet die Kampagne auf eine Bereitschaft hin, Exploit-Tradecraft über unterschiedliche Mail-/Groupware-Ökosysteme hinweg zu verknüpfen – nicht als einmaliger Vorfall, sondern als ausbaubare Angriffsarchitektur.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "OWAReaper: Neue XSS-Kette liefert persistente Microsoft-OWA-Backdoor nach CVE-2026-42897" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "OWAReaper: Neue XSS-Kette liefert persistente Microsoft-OWA-Backdoor nach CVE-2026-42897" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »OWAReaper: Neue XSS-Kette liefert persistente Microsoft-OWA-Backdoor nach CVE-2026-42897« bei Google Deutschland suchen, bei Bing oder Google News!