// CLUBIC — CYBERSECURITY
Ouvrir un mail suffit : des espions russes s'installent durablement dans Exchange
Le 23 juillet, une coalition internationale d'agences de cybersécurité publiait une alerte commune sur les méthodes d'un groupe d'espionnage russe. La veille, celui-ci avait déjà changé de cible pour s'attaquer aux serveurs Exchange.
Les serveurs de messagerie d'entreprise occupent une place à part dans le catalogue des cibles d'espionnage. Ils concentrent les échanges, les pièces jointes et les carnets d'adresses, et beaucoup restent hébergés en interne par des organisations qui n'ont pas les moyens de les surveiller en continu. Proofpoint a publié mercredi l'analyse d'une campagne visant Outlook Web Access, l'interface web d'Exchange, attribuée au groupe russe suivi sous les noms de Laundry Bear, Void Blizzard et TA488. La charge qu'elle dépose ne disparaît ni avec un changement de mot de passe, ni avec une réinstallation complète de la machine.
La faille exploitée porte l'identifiant CVE-2026-42897 et n'a rien d'inédit : Microsoft avait reconnu son exploitation active dès le 14 mai, et nous relations alors l'attente d'un correctif. Notée 8,1 sur l'échelle CVSS, elle vient d'un défaut de filtrage du code HTML contenu dans le corps des messages. Quand la victime ouvre le courriel dans OWA, le serveur restitue le contenu sans le nettoyer correctement, et du JavaScript s'exécute dans le navigateur avec les privilèges de la session en cours. Les chercheurs appellent ce type d'attaque un exploit « à demi-clic », puisque le simple fait d'afficher le message dans le volet de lecture déclenche la compromission.
Le soin apporté aux messages relève d'une psychologie assez retorse. Les objets observés parlent d'indicateurs du tourisme mondial, de métriques des marchés gaziers, de chaînes d'approvisionnement en semi-conducteurs ou de surveillance sanitaire des eaux usées. Aucun lien suspect, aucune pièce jointe, aucun appel à l'action. L'idée consiste à obtenir que la cible ouvre le message, le survole, puis le classe mentalement dans la catégorie des courriels sans intérêt qu'on ne signale jamais au service informatique. À ce stade, le mal est fait.
La campagne visait des entités gouvernementales américaines et européennes ainsi que les secteurs des télécommunications, de la finance, de l'hôtellerie et de l'aéronautique. Le volume et l'étendue du ciblage sortent des habitudes du groupe, qui privilégie d'ordinaire les opérations chirurgicales. Les chercheurs y voient une manière de se fondre dans le trafic de courrier indésirable de masse pour attirer moins de regards. Aucune activité du groupe n'avait été observée entre février et le 22 juillet, ce qui a laissé le temps de préparer les choses.
L'implant déposé, baptisé OWAReaper, ne s'installe nulle part sur la machine. Il vit entièrement dans le contexte du navigateur, à l'intérieur du volet de lecture d'OWA, sans laisser la moindre trace sur le disque. Sa première action consiste d'ailleurs à réécrire le courriel piégé sur le serveur pour en retirer le code d'exploitation, tout en désactivant discrètement les fenêtres surgissantes et le clic droit pendant son exécution. Le message qui vous a infecté redevient donc anodin quelques secondes après l'avoir ouvert.
Trois ancrages assurent ensuite sa survie, et c'est là que l'affaire devient sérieuse. Le premier consiste à écrire une version chiffrée de l'implant dans le stockage local du navigateur, sous une clé légitime qu'OWA relit lui-même à chaque restauration de session. Autrement dit, le service se réinfecte tout seul à chaque ouverture d'onglet, en utilisant son propre mécanisme de synchronisation. Le deuxième glisse un cadre invisible dans les messages conservés en cache hors ligne, ce qui redéclenche l'infection dès qu'on rouvre un vieux courriel empoisonné, y compris sur un poste fraîchement réinstallé.
Le troisième est le plus difficile à déloger. L'implant cherche les extensions Outlook disposant de droits de lecture et d'écriture sur la boîte, puis s'en sert pour voler des jetons d'authentification. Il accorde ensuite