Sicherheitsforscher von Proofpoint haben eine neue Spionagekampagne identifiziert, bei der eine russische Hackergruppe ein hochgradig resistentes Backdoor-Implantat gegen Microsoft Exchange Server einsetzt. Die unter den Bezeichnungen TA488, Void Blizzard oder Laundry Bear bekannte Gruppierung nutzt dabei eine Schwachstelle in Outlook Web Access (OWA), um das als „OWAReaper“ bezeichnete Schadprogramm zu installieren. Dieses zeichnet sich durch eine außergewöhnliche Persistenz aus und ist in der Lage, selbst eine vollständige Neuinstallation des Betriebssystems (Disk-Reimaging) zu überstehen.
Gezielte Kampagne gegen Behörden und kritische Sektoren
Die Angreifer starteten ihre aktive Kampagne am 22. Juli 2026. Dabei nahmen sie gezielt Regierungsstellen in den USA und der Europäischen Union sowie Unternehmen aus den Bereichen Telekommunikation, Finanzen, Gastgewerbe und Luftfahrt ins Visier. Erste Vorbereitungen für diese Operation begannen bereits im März 2026, als die Hacker damit begannen, die notwendige technische Infrastruktur aufzubauen.
Technisch basiert der Angriff auf der Sicherheitslücke CVE-2026-42897. Dabei handelt es sich um eine Cross-Site-Scripting-Schwachstelle (XSS) in Outlook Web Access, die Microsoft Exchange Server der Versionen 2016 und 2019 sowie die Subscription Edition betrifft. Die Forscher stufen den Angriff als „Half-Click-Exploit“ ein, da die Schadsoftware bereits dann ausgelöst wird, wenn ein Benutzer eine präparierte E-Mail lediglich im Lesefenster von OWA öffnet.
Funktionsweise und extreme Persistenz von OWAReaper
Sobald das Implantat aktiv ist, agiert es im Kontext des Browsers beziehungsweise der OWA-Sitzung. OWAReaper ist darauf spezialisiert, sensible Zugangsdaten und OAuth-Tokens zu entwenden. Zudem manipuliert die Schadsoftware die Berechtigungen innerhalb des E-Mail-Systems und erteilt dem „Default“-Benutzer weitreichende Besitzerrechte (Owner-Rechte) an betroffenen Mailboxen.
Immer mehr Unternehmen werden Opfer solch raffinierter Cyberangriffe – diese Checkliste hilft Ihnen, es zu verhindern. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Sicherheitslücken proaktiv schließen und Ihr Unternehmen langfristig absichern. Gratis Cyber-Security E-Book jetzt herunterladen
Die besondere Gefahr von OWAReaper liegt in seiner Persistenzstrategie. Das Implantat nutzt Mechanismen wie localStorage und IndexedDB des Webbrowsers sowie tiefgreifende Berechtigungsänderungen auf dem Exchange-Server, um dauerhaft im System zu verbleiben. Laut den Analysen von Proofpoint übersteht die Schadsoftware nicht nur den Neustart des Browsers oder die Änderung von Passwörtern, sondern bleibt selbst nach einer Rotation von Zugangsdaten oder einem Re-Imaging der Festplatten aktiv.
Die Kommunikation mit den Steuerungs-Servern (Command-and-Control, C2) erfolgt über unkonventionelle Kanäle. Die Hacker nutzen hierfür unter anderem GitHub-Commits und E-Mails. Die Exfiltration der entwendeten Daten wird über HTTPS-Verbindungen sowie DNS-Tunneling abgewickelt.
Patch-Status und empfohlene Sicherheitsmaßnahmen
Microsoft hat auf die Schwachstelle CVE-2026-42897 reagiert und im Juli 2026 einen Sicherheitspatch veröffentlicht. Die Bewertung der Schwere der Lücke geht in Fachkreisen auseinander: Während Microsoft die Schwachstelle mit einem CVSS-Wert von 8.1 einstuft, bewertet die National Vulnerability Database (NVD) das Risiko mit 6.1.
Wer sich mit der Abwehr komplexer Hacker-Methoden befasst, findet in diesem Anti-Phishing-Paket eine fundierte Analyse aktueller Angriffsmethoden. Sichern Sie Ihren Betrieb in 4 Schritten gegen digitale Manipulation und Phishing-Versuche ab. Kostenloses Anti-Phishing-Paket für Unternehmen sichern
Sicherheitsexperten betonen, dass das Einspielen des Patches allein bei bereits kompromittierten Systemen nicht ausreicht, um die Bedrohung zu eliminieren. Da OWAReaper darauf ausgelegt ist, Standard-Sicherheitsroutinen zu überdauern, empfiehlt Proofpoint zusätzliche manuelle Schritte. Administratoren sollten alle EWS-Tokens (Exchange Web Services) widerrufen und die Berechtigungen der Mailboxen gründlich auf Unregelmäßigkeiten prüfen.
Zudem ist eine Bereinigung der lokalen Browserdaten, insbesondere von IndexedDB und localStorage, erforderlich. Auf Netzwerkebene wird dazu geraten, bekannte C2-Domains der Angreifer zu blockieren. Hierzu zählen unter anderem die Adressen asecdns[.]com, acocdn[.]com, dnsrecursive[.]eu und tdndns[.]com. Aufgrund des frühen Zeitpunkts der Infrastruktur-Erstellung im März 2026 schließen die Forscher nicht aus, dass es sich bei der ursprünglichen Ausnutzung um einen Zero-Day-Angriff handelte.
