Die russische, staatlich unterstützte Gruppe TA488, auch bekannt als Laundry Bear oder Void Blizzard, greift seit dem 22. Juli 2026 Nutzer von Outlook Web Access an. Ausgenutzt wird die Cross-Site-Scripting-Lücke CVE-2026-42897 (CVSS 8.1) in der Webmail-Oberfläche von Microsoft Exchange. Das Besondere und Gefährliche daran: Es reicht, wenn ein Opfer die präparierte E-Mail im Lesebereich öffnet. Ein Klick auf Link oder Anhang ist nicht nötig. Die Forscher von Proofpoint, die die Kampagne entdeckt haben, nennen das einen Half-Click-Exploit. Am Ende der Kette steht eine neue Backdoor namens OWAReaper.

Microsoft hat die Schwachstelle bereits am 14. Mai 2026 mit einem Patch geschlossen. Wer noch nicht aktualisiert hat, ist angreifbar. Genau darauf zielt die Kampagne.

Wie der Angriff funktioniert

Die Lücke entsteht durch eine unzureichende Bereinigung von HTML im Nachrichtentext. Der Server filtert eingebetteten Code nicht sauber heraus, sodass beim Öffnen der Mail JavaScript im Browser ausgeführt wird. Die Angreifer betten in ihre Nachrichten einen JavaScript-Loader sowie Base64-kodierte Datenblöcke ein, die sie hinter dem Zeichen # in den URLs von Social-Media-Icons verstecken.

Die E-Mails selbst wirken bewusst unauffällig. Sie geben sich als automatisierte Informationsdienste zu belanglosen Themen aus, etwa zu Halbleiter-Lieferketten, Forschungsupdates oder Kennzahlen aus dem Tourismus- und Gasmarkt. Sie enthalten weder Links noch Anhänge. Das ist Absicht. Ein Nutzer überfliegt die Nachricht, hält sie für Spam und meldet sie nicht dem Sicherheitsteam. Zum Öffnen im Webmail-Client genügt das aber schon.

Was OWAReaper so gefährlich macht

OWAReaper läuft vollständig im Lesebereich von Outlook Web Access, also im Browser-Kontext, und hinterlässt keine Spuren auf dem Rechner des Opfers. Direkt nach der Ausführung schreibt die Malware die E-Mail über Outlook-APIs auf dem Exchange-Server um und entfernt den Exploit-Code wieder. Gleichzeitig deaktiviert sie OWA-Pop-ups und die Rechtsklick-Funktion, solange sie läuft.

Anschließend sammelt sie E-Mail-Adresse, Benutzernamen und Outlook-Einstellungen des Kontos. Für den Diebstahl der Zugangsdaten erzeugt sie unsichtbare Eingabefelder im Seitenaufbau und wartet, bis der Browser sie automatisch mit gespeicherten Passwörtern ausfüllt.

Am kritischsten ist die Persistenz. OWAReaper sucht nach installierten Outlook-Add-ins mit ReadWriteMailbox-Berechtigung und stiehlt darüber OAuth-Token. Danach vergibt es dem vordefinierten Nutzer Default Besitzerrechte auf allen Postfach-Ordnern. Weil diese Berechtigungen serverseitig gesetzt werden, überstehen sie einen Passwortwechsel und sogar die Neuinstallation des Geräts. Ein Angreifer kann danach von jedem angemeldeten Konto der Organisation aus auf das Postfach zugreifen. Als zweite Rückfalllinie schleust die Malware ein unsichtbares iframe in zwischengespeicherte Nachrichten der Offline-Datenbank von OWA ein, das bei jedem erneuten Öffnen der Mail neu startet.

Für die Steuerung und den Datenabfluss nutzt OWAReaper jeweils zwei getrennte Wege. Einer der Steuerungskanäle läuft verdeckt über GitHub-Commit-Nachrichten, die die Malware alle 24 Stunden abfragt. Der Datenabfluss erfolgt bevorzugt verschlüsselt über bestimmte CDN-Domains, als Rückfallweg dient eine Exfiltration über DNS.

Wer im Visier steht

Proofpoint beobachtet Angriffe auf Regierungseinrichtungen in den USA und Europa sowie auf Unternehmen aus Telekommunikation, Finanzwesen, Gastgewerbe sowie Luft- und Raumfahrt. Die Gruppe ist kein Neuling. Zwischen Juli 2025 und Februar 2026 führte sie eine ähnliche Kampagne über eine XSS-Lücke in Zimbra durch und lieferte damals die verwandte Backdoor ZimReaper aus. OWAReaper ist eine Weiterentwicklung davon. Die Angriffsinfrastruktur für die aktuelle Kampagne entstand bereits im März 2026, rund zwei Monate vor der Microsoft-Warnung. Proofpoint hält es deshalb für möglich, dass die Lücke schon vorher als Zero-Day ausgenutzt wurde.