LONDON (IT BOLTWISE) – Sicherheitsforscher melden eine neue Spionagekampagne gegen Microsoft Exchange. Die Gruppe setzt eine Outlook Web Access-Schwachstelle mit einem „Half-Click“-Vektor ein, bei dem das Öffnen einer präparierten E-Mail im Lesebereich reicht. Das Implantat OWAReaper soll nicht nur im Browserkontext bleiben, sondern auch Disk-Reimaging überstehen. Microsoft hat dafür bereits im Juli 2026 einen Patch bereitgestellt, während die Abwehr zusätzlich manuelle Schritte verlangt.
Bei Microsoft Exchange rückt derzeit wieder eine Kombination aus Browser-Exploitation und serverseitiger Rechteausweitung in den Fokus: Sicherheitsforscher von Proofpoint beschreiben das Backdoor-Implantat „OWAReaper“, das über eine Schwachstelle in Outlook Web Access (OWA) eingeschleust wird und anschließend extrem langlebige Spuren hinterlassen soll. Auffällig ist dabei weniger der klassische „Account-Diebstahl“-Impuls, sondern die Strategie, Persistenz auch dann aufrechtzuerhalten, wenn Benutzer oder Administratoren aus Compliance- und Incident-Response-Gründen bereits gedacht haben, die „Säuberung sei abgeschlossen“.
Die eingesetzte Angreifergruppe wird in den Analysen unter den Bezeichnungen TA488, „Void Blizzard“ oder „Laundry Bear“ geführt. Nach den Angaben von Proofpoint startete die aktive Phase am 22. Juli 2026, während die technischen Vorbereitungen bereits im März 2026 begonnen haben sollen. Als Zielsysteme nennen die Forscher unter anderem Regierungsstellen in den USA sowie in der Europäischen Union und Unternehmen aus Telekommunikation, (Unternehmens-)Finanzen, Gastgewerbe und Luftfahrt. Technisch ordnet Proofpoint das Vorgehen als „Half-Click-Exploit“ ein, weil die Schadsoftware schon beim Öffnen einer präparierten E-Mail im OWA-Lesefenster ausgelöst werden soll, ohne dass der Nutzer aktiv klicken muss.
Im Zentrum steht die Sicherheitslücke CVE-2026-42897, eine Cross-Site-Scripting-Schwachstelle (XSS) in OWA. Laut den Forschungen betrifft die Lücke Microsoft Exchange Server der Versionen 2016 und 2019 sowie die Subscription Edition. Sobald OWAReaper aktiv ist, agiert das Implantat im Kontext der laufenden OWA-Sitzung und soll laut Proofpoint darauf spezialisiert sein, sensible Zugangsdaten und OAuth-Tokens zu entwenden. Zusätzlich heißt es, dass das Schadprogramm die Berechtigungen innerhalb des E-Mail-Systems manipuliert und dem „Default“-Benutzer weitreichende Owner-Rechte an betroffenen Mailboxen verschafft. Aus Defense-Sicht macht genau diese Mischung aus Token-Diebstahl und Rechteeskalation die Lücke besonders kritisch, weil sich Angriffsfortschritt und Datenzugriff nicht nur auf den Moment der Ausführung reduzieren.
Die besondere Gefahr liegt danach in der Persistenz: Das Implantat nutzt Mechanismen wie localStorage und IndexedDB des Webbrowsers und kombiniert das mit tiefgreifenden Änderungen auf dem Exchange-Server, um dauerhaft im System zu verbleiben. Nach den Analysen von Proofpoint soll OWAReaper nicht nur den Neustart des Browsers oder Passwortwechsel überstehen, sondern auch nach einer Rotation von Zugangsdaten oder selbst nach einem Re-Imaging der Festplatten weiter aktiv sein. Die Kommunikation mit den Command-and-Control-Servern (C2) erfolgt zudem über unkonventionelle Kanäle; als Beispiele werden unter anderem GitHub-Commits und E-Mails genannt. Für die Exfiltration der Daten nennen die Forscher HTTPS-Verbindungen und DNS-Tunneling. Für IT-Teams bedeutet das: Ein „Host neu aufsetzen“ oder „Passwörter rotieren“ kann ausreichen, um bekannte, weniger robuste Backdoors zu deaktivieren, trifft aber auf ein Implantat mit systematisch angebundenen Persistenzpfaden womöglich die falschen Annahmen.
Beim Patch-Status gibt Microsoft nach den vorliegenden Informationen im Juli 2026 einen Sicherheitspatch für CVE-2026-42897 aus. Unterschiede finden sich jedoch in der Risikoeinstufung: Microsoft bewertet die Schwachstelle mit einem CVSS-Wert von 8,1, während die National Vulnerability Database (NVD) das Risiko mit 6,1 einordnet. Die praktische Konsequenz daraus ist weniger ein Rechenspiel als ein Priorisierungsproblem in der Breite: Selbst eine „mittlere“ Score-Zahl kann im Zusammenspiel mit Token-Diebstahl, Rechteeskalation und schwer ausradierbaren Persistenzmechanismen zu erheblichen Schäden führen, insbesondere bei Organisationen, die Exchange breit als Kommunikations- und Geschäftsplattform nutzen.
Entscheidend ist daher die Abwehrlogik nach dem Patch. Sicherheitsverantwortliche sehen in derartigen Fällen laut Proofpoint, dass das reine Einspielen der Fixes auf bereits kompromittierten Umgebungen nicht genügt, um die Bedrohung zu eliminieren. Proofpoint empfiehlt deshalb zusätzliche manuelle Schritte: Administratoren sollen alle EWS-Tokens (Exchange Web Services) widerrufen und die Mailbox-Berechtigungen auf Unregelmäßigkeiten prüfen. Parallel soll eine Bereinigung lokaler Browserdaten erfolgen, insbesondere von IndexedDB und localStorage. Auf Netzwerkebene raten die Forscher, bekannte C2-Domains zu blockieren, darunter asecdns[.]com, acocdn[.]com, dnsrecursive[.]eu und tdndns[.]com. Da die Infrastruktur-Aufbauphase laut den Angaben bereits im März 2026 begonnen haben soll, schließen die Forscher zudem nicht aus, dass die ursprüngliche Ausnutzung der Schwachstelle als Zero-Day-Angriff stattgefunden haben könnte.
Aus strategischer Sicht verändert diese Meldung vor allem zwei Punkte in der Unternehmenspraxis. Erstens müssen Exchange- und OWA-Teams Patch-Management stärker mit „Identitäts- und Session-Hygiene“ koppeln: Wenn OAuth-Tokens und Owner-Rechte im Spiel sind, reicht die klassische Ticketkette „Update einspielen“ allein nicht. Zweitens sollten Incident-Response-Playbooks für OWA-Exploitation Persistenzpfade auf Browser- und Serverebene explizit adressieren, statt sich ausschließlich auf Neuinstallation oder Wiederherstellung zu verlassen. Genau hier liegt der Engpass bei vielen Organisationen, weil Browserdaten und serverseitige Rechteänderungen im Nachgang oft nicht als gemeinsame Ursache erkannt werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Exchange-Backdoor OWAReaper: Persistenz trotz Re-Imaging über OWA-Lücke" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Exchange-Backdoor OWAReaper: Persistenz trotz Re-Imaging über OWA-Lücke" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Exchange-Backdoor OWAReaper: Persistenz trotz Re-Imaging über OWA-Lücke« bei Google Deutschland suchen, bei Bing oder Google News!