LONDON (IT BOLTWISE) – Sicherheitsforscher berichten über eine neue Kampagne des Russland-nahen Akteurs TA488, die eine Schwachstelle in Outlook Web Access ausnutzt. Bereits das reine Öffnen einer E-Mail im Webmail-Client soll ausreichen, um die Backdoor OWAReaper nachzuladen. Die Angreifer arbeiten ohne Links und Anhänge, wodurch die Nachrichten im Alltag seltener dem Sicherheitsteam auffallen. Als technische Basis nennt die Analyse die XSS-Lücke CVE-2026-42897.
Wer in Unternehmen auf Postfach-Phishing mit Links und Anhängen optimiert hat, könnte bei der aktuellen TA488-Kampagne zu kurz greifen: Laut einer Analyse von Proofpoint sind die präparierten E-Mails so gestaltet, dass schon das Öffnen in Outlook Web Access genügt, um eine Infektion anzustoßen. Entscheidend ist dabei die Mischung aus geringer Aufmerksamkeit im SIEM-Alltag und einer Angriffskette, die nicht auf typischen Social-Engineering-Mustern wie bösartigen Attachments beruht. Proofpoint ordnet die Gruppe TA488 unter den Namen Void Blizzard und Laundry Bear ein und beschreibt, dass sie seit dem 22. Juli 2026 gezielte Nachrichten an Regierungseinrichtungen in den USA und Europa sowie an Unternehmen aus Telekommunikation, Finanzwesen, Gastgewerbe und Luft- und Raumfahrt versendet.
Die Nachrichten selbst wirken dabei bewusst unauffällig: Sie sollen wie automatisierte Informationsdienste zu alltäglichen Themen aus dem Unternehmensbetrieb aussehen, etwa zu Halbleiter-Lieferketten oder Tourismuskennzahlen. Wichtig ist auch, was fehlt: Nach den Angaben aus der Analyse enthalten die E-Mails weder Links noch Anhänge. Genau dadurch verschwimmt der Angriff in dem Material, das Sicherheitsteams täglich sichten müssen. Wenn zudem die Standardprozesse im Unternehmen stark auf URL- und Attachment-Erkennung ausgelegt sind, können “linkfreie” Inhalte in der Prüfung niedrig priorisiert werden – mit dem Ergebnis, dass selbst Nutzer ohne Administratorrechte das Startsignal liefern.
Technisch knüpft die Kampagne an CVE-2026-42897 an, eine Cross-Site-Scripting-Schwachstelle in Outlook Web Access. Der Kernmechanismus ist, dass beim Öffnen der Nachricht eingebetteter JavaScript-Code automatisch ausgeführt wird. Damit verschiebt sich das Bedrohungsmodell: Es geht weniger um die klassische Frage, ob ein Nutzer eine Datei startet, sondern darum, ob eine Webmail-Komponente beim Rendern der Nachricht Code interpretiert und ausführt. Proofpoint hält es für möglich, dass TA488 die Lücke bereits als Zero-Day nutzte: Erste Infrastruktur der Kampagne sei demnach im März 2026 entstanden, während Microsoft erst im Mai einen außerplanmäßigen Patch veröffentlicht habe. Für Betreiber bedeutet das vor allem, dass Patch-Status und “Zeit seit Veröffentlichung” allein nicht reichen, um das tatsächliche Expositionsfenster zu bewerten.
Im weiteren Verlauf setzt OWAReaper stark auf eine Ausführung, die im Lesebereich von Outlook Web Access stattfindet. Laut Proofpoint hinterlässt die Backdoor dadurch keine sichtbaren Spuren auf dem Rechner des Opfers – ein Ansatz, der die klassische Forensik am Endgerät deutlich erschwert. Stattdessen übernimmt die Schadsoftware mehrere Wege, um Zugangsdaten zu erheben und Persistenz zu organisieren: Sie speichert eine verschlüsselte Kopie in einem localStorage-Bereich des Browsers, greift auf kompromittierte OAuth-Token zurück, die über bösartige oder manipulierte Outlook-Add-ins beschafft werden, und nutzt außerdem einen versteckten iFrame in zwischengespeicherten Nachrichten der Offline-Datenbank. Dass gleich drei Mechanismen parallel angesetzt werden, ist aus Verteidigungssicht besonders relevant, weil das Entfernen eines einzelnen Artefakttyps häufig nur eine Teillinderung bringt.
Besonders gravierend ist, dass der Diebstahl der OAuth-Token nicht bei einem einzelnen Postfach endet. Proofpoint beschreibt, dass der Malware so dem Standardnutzer im jeweiligen Exchange-Tenant Besitzerrechte auf sämtliche Mailordner verschafft. Praktisch heißt das: Solange die Rechte nicht gezielt entfernt werden, erhält praktisch jeder authentifizierte Nutzer der Organisation Zugriff auf die Postfächer, die über diese Berechtigungen abgedeckt sind. Gleichzeitig ist das ein Signal dafür, dass Angreifer nicht nur kurzfristige Lesezugriffe anstreben, sondern die Zugriffskette in die organisatorischen Rollen hinein verlängern. Damit verschiebt sich der Schwerpunkt bei der Incident Response vom “Haben wir die richtige E-Mail entfernt?” hin zum “Welche Token, Add-ins und Berechtigungen wurden skaliert?”.
Proofpoint bewertet OWAReaper als Weiterentwicklung der früher bekannten Malware ZimReaper – auch wegen Überschneidungen in der Funktionsweise. Gleichzeitig fällt auf, dass in der aktuellen Kampagne offenbar auf eine massenhafte Exfiltration ganzer Postfächer verzichtet wird. Genau dieses Muster deuten die Forschenden als erhöhtes Bewusstsein für operative Sicherheit: Statt breite Datensammlungen in einem Schritt zu riskieren, könnte die Gruppe stärker selektiv vorgehen oder die Entdeckungsgeschwindigkeit der Verteidiger ausnutzen. Für betroffene Organisationen ist dieser Punkt insofern entscheidend, als sich “keine offensichtliche Datenabflüsse” nicht automatisch mit “keine Kompromittierung” gleichsetzen lassen. Gerade wenn Zugangstoken und Rechte im Vordergrund stehen, können Folgeschäden auch ohne sofortige sichtbare Exfiltration entstehen.
Aus Verteidigerperspektive nennt Proofpoint konkrete Maßnahmen, die sich auf Token, Exchange-Berechtigungen und lokale Browserartefakte konzentrieren. Betroffene Organisationen sollen demnach Exchange-Web-Services-Token der kompromittierten Add-ins widerrufen, Standardnutzerrechte auf Ordner in Exchange entziehen sowie die Offline-Datenbank und den genutzten localStorage-Schlüssel auf den betroffenen Endgeräten leeren. Zusätzlich empfiehlt die Analyse, ausgehende Verbindungen zu bekannten Command-and-Control-Servern der Gruppe zu blockieren oder zumindest mit einer Alarmierung zu versehen. Zusammengenommen zeigt das Vorgehen, wie stark sich der Abwehrplan von reinem Gateway-Filtering wegbewegen muss: Wenn die entscheidende Ausführung im Webmail-Renderprozess passiert, braucht es auch Kontrolle auf Identitäts- und Zugriffsebene, also über Token-Lifecycle und Exchange-Rollen.
Für die IT-Entscheidungsebene folgt daraus eine klare Priorisierung: Erstens sollten Teams den Patch- und Exposure-Status rund um Outlook Web Access und spezifische XSS-Fehler strukturiert nachhalten, weil ein frühes Ausnutzen vor der offiziellen Veröffentlichung möglich gewesen sein könnte. Zweitens lohnt sich die Überprüfung, ob vorhandene Erkennungsregeln “linkfrei” und “rendergetriebene Ausführung” überhaupt abdecken. Drittens sollte die Incident Response für Identitätsartefakte geübt werden, denn OAuth-Token und Add-in-Rechte sind typischerweise der Teil, der in der ersten Stunde einer Lage unterschätzt wird. Und schließlich stellt die OWAReaper-Kette eine Erinnerung dar, dass die Sicherheitslage in modernen Webmail-Systemen nicht bei der Benutzeraktion endet: Ein “nur öffnen” kann je nach Implementierung bereits die gefährliche Schnittstelle zum Systemzustand sein.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "TA488 nutzt Outlook Web Access: Backdoor OWAReaper über XSS-Lücke" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "TA488 nutzt Outlook Web Access: Backdoor OWAReaper über XSS-Lücke" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »TA488 nutzt Outlook Web Access: Backdoor OWAReaper über XSS-Lücke« bei Google Deutschland suchen, bei Bing oder Google News!