Sicherheitsforscher von Proofpoint haben eine neue Angriffskampagne des Russland-nahen Bedrohungsakteurs TA488 (Void Blizzard, Laundry Bear) identifiziert, die eine Cross-Site-Scripting-Lücke in Outlook Web Access ausnutzt. Seit dem 22. Juli 2026 versendet die Gruppe entsprechende E-Mails an Regierungseinrichtungen in den USA und Europa sowie an Unternehmen aus Telekommunikation, Finanzwesen, Gastgewerbe und Luft- und Raumfahrt.
Die laufende Kampagne nutzt einen sogenannten einem „Half-Click-Exploit“ Für eine Kompromittierung genügt bereits das Öffnen der Nachricht im Webmail-Client. Am Ende der Infektionskette steht die bislang unbekannte Backdoor OWAReaper, die dauerhaften Zugriff auf das Postfach verschafft, der auch nach einem Passwortwechsel oder einer Neuinstallation des Rechners bestehen bleibt.
Die Kampagne begann am 22. Juli 2026, einen Tag bevor Proofpoint gemeinsam mit der National Security Agency eine Analyse zu TA488 veröffentlichte. Auffällig ist der Umfang der neuen Welle: Sowohl das Nachrichtenvolumen als auch die Breite der betroffenen Branchen sind für TA488 unüblich und dürften bewusst gewählt worden sein, um in der Masse gewöhnlicher Spam-Kampagnen unterzugehen.
Unauffällige Nachrichten als Einstieg
Für den Versand nutzt TA488 kompromittierte Konten. Die Inhalte der Nachrichten sind bewusst nichtssagend gehalten und verzichten auf eine Handlungsaufforderung, sodass sie wie automatisiert erstellte Informationsdienste zu Themen wie Halbleiter-Lieferketten, den Gasmarkt oder Tourismuskennzahlen wirken.
Weil weder verdächtige Links noch Anhänge enthalten sind, überfliegen die Empfänger sie mit hoher Wahrscheinlichkeit und stufen sie als Werbung ein, ohne sie ihrem Sicherheitsteam zu melden, was den Angreifern für einen erfolgreichen Zugriff bereits ausreicht.
Die Angreifer nutzen CVE-2026-42897 aus, eine Schwachstelle, bei der der Server den HTML-Code im Nachrichtentext nicht ausreichend bereinigt, sodass beim Öffnen der E-Mail ein eingebetteter JavaScript-Loader über einen Event-Handler den restlichen Nachrichtentext ausführt. Die eigentliche Schadfunktion versteckt TA488 in den Social-Media-Symbolen der Nachricht, wodurch sich die Erkennung deutlich erschwert.
OWAReaper: unsichtbar im Browser
Proofpoint bewertet OWAReaper als die bislang ausgereifteste Backdoor, die über einen Half-Click-Exploit ausgeliefert wurde, zumal die Malware vollständig im Lesebereich von Outlook Web Access läuft und keine Spuren auf dem Rechner des Opfers hinterlässt.
Nach dem Start überschreibt sie über Outlook-Schnittstellen die ursprüngliche E-Mail auf dem Exchange-Server und entfernt den Exploit-Code. Gleichzeitig deaktiviert OWAReaper während seiner Ausführung OWA-Popups und die Rechtsklick-Funktion.
OWAReaper erstellt daraufhin einen für jedes Ziel einzigartigen Sitzungsschlüssel und beginnt, die E-Mail-Adresse, den Benutzernamen und die Outlook-Einstellungen des Ziels zu erfassen. Anschließend erstellt es zwei unsichtbare Eingabeelemente im DOM und wartet darauf, dass die Autovervollständigungsfunktion des Browsers den Benutzernamen und das Passwort eingibt, um die in OWA gespeicherten Anmeldedaten des Benutzers zu erfassen.
Da OWAReaper erheblich mit der in früheren Kampagnen eingesetzten ZimReaper-Malware übereinstimmt, geht Proofpoint von einer Weiterentwicklung aus. Der Verzicht auf die massenhafte Exfiltration ganzer Postfächer deutet auf ein gestiegenes Bewusstsein der Gruppe für operative Sicherheit hin.
Persistenz auf drei Ebenen
Den dauerhaften Zugriff auf das Postfach sichert die Malware über drei voneinander unabhängige Mechanismen ab. Zunächst schreibt sie eine verschlüsselte Kopie ihrer selbst in ein legitimes Einstellungsfeld im localStorage des Browsers, das Outlook Web Access beim Seitenaufbau ohnehin auswertet, wodurch der Schadcode bei jedem Öffnen eines Tabs automatisch startet.
Kritischer wiegt der zweite Mechanismus: Über Outlook-Add-ins mit weitreichenden Postfachberechtigungen stiehlt OWAReaper OAuth-Token und erteilt anschließend dem Standardnutzer, einem in jedem Exchange-Tenant vorhandenen Alias mit normalerweise minimalen Rechten, Besitzerrechte auf sämtliche Mailordner.
Damit erhält praktisch jeder authentifizierte Nutzer derselben Organisation vollen Zugriff auf das Postfach. Verfügt TA488 über weitere Konten im Unternehmen, bleibt der Zugang auf Serverseite dauerhaft bestehen, solange die Berechtigung nicht gezielt auf dem Exchange-Server entfernt wird.
Als dritte Absicherung hinterlegt die Malware einen versteckten iFrame in den zwischengespeicherten Nachrichten der Offline-Datenbank, sodass sich das System bei jedem Öffnen einer dieser E-Mails erneut infiziert.
Einordnung und Empfehlungen
Proofpoint schreibt die Aktivität TA488 zu, gestützt auf den Einsatz von Half-Click-Exploits gegen Webmail-Oberflächen, die Überschneidungen mit ZimReaper, den kodierten Datenabfluss über DNS sowie den Fokus auf E-Mails und Zugangsdaten. Bemerkenswert ist der zeitliche Ablauf.
Die erste Infrastruktur dieser Kampagne entstand im März 2026, zwei Monate bevor Microsoft einen außerplanmäßigen Patch für CVE-2026-42897 bereitstellte, weshalb Proofpoint es für möglich hält, dass TA488 die Schwachstelle als Zero-Day genutzt hat. In Kombination mit der deutlich verbesserten Malware und der Exploit-Entwicklung gegen ein anspruchsvolleres Ziel deutet dies auf einen erheblichen Fähigkeitssprung der Gruppe hin.
Betroffenen Organisationen empfiehlt Proofpoint, die Exchange-Web-Services-Token der betroffenen Add-ins zu widerrufen. Darüber hinaus sollten sie prüfen, dem Standardnutzer erteilte Ordnerberechtigungen in Exchange zu entziehen sowie die Offline-Datenbank und den genutzten localStorage-Schlüssel auf betroffenen Endgeräten zu leeren. Ausgehende Verbindungen zu den bekannten Command-and-Control-Servern sollten blockiert oder mit einer Alarmierung versehen werden.