LONDON (IT BOLTWISE) – Kriminelle Gruppen sollen im Umfeld von Microsoft Outlook Web Access eine XSS-Schwachstelle über eine „half-click“-Kette missbrauchen. Ausgenutzt wird dabei CVE-2026-42897 mit einem CVSS-Score von 8,1, wobei Microsoft den Fehler bereits als angegriffen gemeldet hatte. Laut Proofpoint wird dabei ein neuer browserbasierter Implant namens OWAReaper eingesetzt, der auch nach Credential-Rotation und Gerät-Neubildung Zugriff halten soll. Entscheidend ist, dass die Persistenz serverseitig über Exchange-Funktionen stattfindet.
Die aktuelle Angriffswelle wirkt vor allem deshalb gefährlich, weil sie das klassische „Einmal-Klicken und dann ist es vorbei“-Denken von Anwendern und Sicherheitsprozessen unterläuft. Laut den vorliegenden Analysen starteten die Aktivitäten am 22. Juli 2026 und richten sich gezielt gegen Organisationen in den USA und in Europa, darunter auch Behörden sowie Unternehmen aus Telekommunikation, Finanzen, Hospitality und Luftfahrt. Technisch basiert die Kampagne auf einem Cross-Site-Scripting-Fehler in Microsoft Outlook Web Access (OWA), konkret auf CVE-2026-42897 mit einem CVSS-Score von 8,1. Microsoft habe den Bug demnach bereits früher als in Angriffen ausgenutzt identifiziert, und auch Proofpoint ordnet die Vorgehensweise einer Gruppe zu, die für „half-click“-Ketten bekannt ist.
Der Kern der Methode liegt nicht nur in der Schwachstelle, sondern in der Art, wie der Exploit ausgelöst wird. Die Kampagne setzt auf E-Mails, die über von Angreifern kontrollierte Proton-Mail-Konten und außerdem über zuvor kompromittierte Adressen versendet werden. Sobald die Nachricht in einer verwundbaren Zimbra-Umgebung geöffnet wird, soll sie die frühere XSS-Schwäche CVE-2025-66376 antriggern und dabei eine JavaScript-Nutzlast ausrollen, die als „ZimReaper“ bezeichnet wird. Dass die Kette auch nach einer späteren Credential-Rotation weiterlaufen kann, ist dabei kein Zufall: Die Angreifer nutzen offenbar Mechanismen, um Zugang nicht nur in der Client-Session, sondern bis in serverseitige Zustände hinein zu verankern.
Mit der neuen Welle kommt der Schritt in die OWA-Welt: Aus der Sicht der Angreifer endet der Prozess nicht bei der reinen Informationsabnahme, sondern in einer Persistenzschicht innerhalb des Webmail-Clients. Das neu beschriebene Implant OWAReaper wird im Kontext des OWA-Lese-Panels ausgeführt und soll dann Outlook-APIs verwenden, um die betreffende E-Mail auf dem Exchange-Server umzuschreiben und die Exploit-Inhalte zu entfernen. Dadurch wird das „Beweismaterial“ im Postfach selbst verwischt und die Incident-Response erschwert, weil die ursprüngliche Schadlogik nicht mehr ohne Weiteres im sichtbaren Nachrichteninhalt nachzuvollziehen ist. Parallel greift das Schadprogramm in die Nutzerinteraktion ein: Es soll OWA-Pop-ups unterdrücken und die Rechtsklick-Funktion während der Laufzeit deaktivieren, um das Auffinden auffälliger Artefakte zu verhindern.
Besonders relevant für die Verteidigung ist, wie OWAReaper Zugang langfristig hält. Laut den Angaben erstellt die Malware zunächst eine session-spezifische Schlüsselung und ermittelt dann E-Mail-Adresse, Benutzernamen sowie Outlook-Einstellungen des Opfers. Danach legt sie zwei unsichtbare Input-Elemente im DOM an, damit die Browser-Autofill-Funktion gespeicherte OWA-Credentials in die Schadlogik einspeist. Im Anschluss schreibt sie verschlüsselte Komponenten in den Browser-Speicher (localStorage) und sorgt damit dafür, dass die Ausführung wieder anläuft, sobald ein Nutzer erneut eine OWA-Registerkarte öffnet. Das allein wäre schon aufwändig zu entkräften; kritisch wird es jedoch, weil OWAReaper zusätzlich nach installierten Outlook-Add-ins mit ReadWriteMailbox-Berechtigung sucht.
Wenn solche Add-ins vorhanden sind, soll die Schadsoftware die dort verfügbaren OAuth-Tokens missbrauchen und sich Owner-Level-Rechte auf dem Default-User über alle Mailordner verschaffen. Genau diese Kopplung an Exchange-Rechte erklärt, warum die Angreifer trotz Maßnahmen wie Credential-Rotation oder sogar vollständiger Re-Images des Client-Systems weiterhin in der Lage sein sollen, auf die Mailbox zuzugreifen. Die Argumentation von Proofpoint lautet demnach, dass die Persistenz serverseitig existiert und nur durch ein bewusstes Entfernen aus dem Exchange-Umfeld eliminiert werden kann. Als zweite Persistenzmethode kommt hinzu, dass die Malware ein verstecktes iframe-Element in die Offline-Cache-Struktur von OWA schreibt – konkret in die IndexedDB für zwischengespeicherte Nachrichten – und das Laden dieses Caches wiederholt die Reintegration der Schadlogik ermöglicht.
Auch das Command-and-Control-Verhalten folgt dem Muster „wenig Spuren, hoher Durchsatz“. OWAReaper soll zwei Kanäle nutzen: erstens das Auslesen von Kommandos über GitHub (über die Commit-Search-API) und zweitens das Abholen von Kommandos aus per E-Mail gesendeten Daten durch die Angreifer selbst. Im GitHub-Modus werde alle 24 Stunden nach Commit-Metadaten gesucht, die die Zieladresse enthalten, danach wird die Nutzlast entschlüsselt und anhand eines vierstelligen Headers einem Befehlstyp zugeordnet. Der beschriebene Funktionsumfang reicht dabei bis zum Austausch kompletter Toolkit-Code-Teile oder zur Ausführung beliebiger JavaScript-Kommandos per eval(). Zusätzlich wird Exfiltration primär über HTTPS mit AES-CTR-verschlüsselten URI-Pfaden beschrieben; falls das nicht funktioniert, soll DNS-Label-Tunneling Daten in reguläre DNS-Anfragen eines angreifergesteuerten Domainsystems verstecken.
Für die Risikoabwägung in Unternehmen ist außerdem die zeitliche Einordnung relevant. Proofpoint verweist darauf, dass die Infrastruktur dieser Kampagne bereits im März 2026 aufgebaut worden sein soll, also zwei Monate vor der Offenlegung von CVE-2026-42897 durch Microsoft. Gleichzeitig habe man zwischen Februar und dem 22. Juli 2026 keine Aktivitäten der Gruppe erkannt, was Spielraum für eine vorherige, möglicherweise zurückgestaffelte Erprobung lässt. Strategisch bedeutet das: Selbst wenn technische Updates eingespielt sind, müssen Organisationen im OWA-/Exchange-Umfeld sehr gezielt prüfen, ob Persistenz über Add-in-Rechte oder serverseitige Berechtigungen möglich war und ob Offline-Caches bereinigte Inhalte weiterhin laden. Das passt auch zu dem Muster, dass die Lures eher vage gehalten sind und ohne URLs oder Anhänge auskommen, sodass Empfänger eher lesen und weniger bewusst verwerfen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "OWAReaper: Neue XSS-Chain zielt mit Persistent Access auf Microsoft Outlook Web" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "OWAReaper: Neue XSS-Chain zielt mit Persistent Access auf Microsoft Outlook Web" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »OWAReaper: Neue XSS-Chain zielt mit Persistent Access auf Microsoft Outlook Web« bei Google Deutschland suchen, bei Bing oder Google News!