// HEISE ONLINE — CYBERSECURITY
Russische Akteure greifen über Outlook-Web-Access-Lücke an
Eine Sicherheitslücke in OWA ermöglicht durch Anzeigen von Mails das Ausführen von JavaScript-Code. Russische Akteure nutzen das aus.
IT-Sicherheitsforscher haben Angriffe russischer Cyberkrimineller auf eine Exchange-Schwachstelle beobachtet. Die Lücke ist seit Mai bekannt und wurde dort bereits missbraucht. Es reicht bereits das Anzeigen einer bösartig präparierten E-Mail in Outlook Web Access (OWA). Softwareupdates stehen bereit, um die Sicherheitslücke zu schließen.
Davon berichtet das IT-Sicherheitsunternehmen Proofpoint aktuell. Das Sicherheitsleck stammt von einer unzureichenden Filterung von Eingaben bei der Generierung von Webseiten, es handelt sich um eine Cross-Site-Scripting-Lücke. Angreifer aus dem Netz können ohne Authentifizierung Spoofing-Angriffe ausführen, erklärte Microsoft. Das Anzeigen einer Mail in OWA führt zum Ausführen von darin eingebettetem JavaScript (CVE-2026-42897, CVSS 8.1, Risiko „hoch“).
Die IT-Forscher führen aus, dass die Kampagne sich gegen staatliche Stellen in den USA und Europa sowie gegen die Branchen Telekommunikation, Finanzwesen, Gastgewerbe und Luft- und Raumfahrt richtet. Die kriminelle Vereinigung mit den Namen TA488, Laundry Bear oder auch Void Blizzard setze verstärkt auf „Halb-Klick“-Exploits, bei denen das Öffnen einer E-Mail ausreicht, um Useraccounts zu kompromittieren. Sie haben dabei signifikant verbesserte Lademechanismen, Techniken und Malware vorzuweisen, was auf eine deutliche Steigerung der Fähigkeiten der Gruppierung hinweise.
Am Ende der Infektionskette stehe eine bislang unbekannte JavaScript-Browser-Malware, die Proofpoint „OWAReaper“ nennt. Sie hat persistenten OWA-Zugriff zum Ziel. Sie läuft im OWA-Browser-Kontext und funktioniert als verstecktes Implantat ohne weitere Spuren auf dem Host. OWAReaper nutzt zwei Command-and-Control-Kommunikationskanäle und zwei Protokolle zum Ausleiten von Daten. Sie übersteht sogar den Browser-Neustart oder das Ändern von Zugangsdaten – und damit auch komplette Neuinstallationen von Rechnern von Opfern. Die IT-Sicherheitsforscher haben erste Spuren der Malwarekampagne auf den März dieses Jahres datieren können, was zwei Monate vor Microsofts ungeplantem Update für die Sicherheitslücke liegt. Es sei daher denkbar, dass die russischen Angreifer die Lücke als Zero-Day missbraucht haben. Interessierte finden tiefergehende Details in der Proofpoint-Analyse.
In dem Bericht erklären die IT-Forscher zudem, dass Einrichtungen Exchange-Web-Services-Token (EWS) für betroffene Add-ins untersuchen und zurückziehen sollten. Ebenso sei eine Überprüfung und gegebenenfalls Korrektur der Exchange-Ordnerrechte für Standard-Nutzer angebracht. Das Löschen von Keys auf betroffenen Endpunkten empfehlen die Analysten: IndexedDB von OWA (owa_offline_db) und PageDataPayload.OwaUserDefaultSettings localStorage. Hilfreich sei die Blockade oder eine Benachrichtigung bei ausgehenden Verbindungen zu den Command-and-Control-Servern. Deren Adressen finden sich unter „Indicators“ in der Analyse.
Die angegriffene Schwachstelle wurde Mitte Mai dieses Jahres bekannt. Microsoft warnte dort bereits, dass sie als Zero-Day-Lücke in freier Wildbahn angegriffen wird. Betroffen sind Exchange Server 2016, 2019 sowie Exchange Server Subscription Edition (SE). Zunächst hatte Microsoft nur Gegenmaßnahmen erläutert, die Admins ergreifen müssen. Nun stehen aktualisierte Softwarepakete bereit, um die Schwachstellen zu schließen. Microsoft verlinkt sie in der eigenen Schwachstellenmitteilung zu CVE-2026-42897.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.