Sicherheitsforscher haben eine aktive Angriffswelle identifiziert, die eine neu entdeckte Schwachstelle in Microsoft Outlook Web Access (OWA) ausnutzt. Die als TA488 bekannte Bedrohungsgruppe, die in Fachkreisen auch unter den Namen Laundry Bear oder Void Blizzard geführt wird, nutzt die Schwachstelle CVE-2026-42897 gezielt aus, um ungepatchte Systeme zu kompromittieren. Es handelt sich hierbei um eine Cross-Site-Scripting-Lücke (XSS) mit einem Schweregrad von 8.1 auf der CVSS-Skala, die Exchange-Server-Installationen weltweit gefährdet.
Funktionsweise des Exploits und Persistenz durch OWAReaper
Nach Erkenntnissen von Microsoft wird der Angriff durch eine sogenannte „Half-Click“-Technik ausgelöst. Dabei genügt es bereits, wenn ein Benutzer eine präparierte E-Mail innerhalb der OWA-Oberfläche öffnet, um den Exploit zu aktivieren. In der Folge wird das Browser-Implantat „OWAReaper“ auf dem System installiert. Dieses Tool ist darauf spezialisiert, Anmeldedaten und OAuth-Tokens der betroffenen Nutzer zu entwenden.
Eine Besonderheit von OWAReaper ist seine hohe Persistenz. Das Implantat nutzt Mechanismen wie localStorage und IndexedDB innerhalb des Browsers, wodurch es herkömmliche Sicherheitsmaßnahmen umgehen kann. Den Analysen zufolge überlebt die Schadsoftware nicht nur Passwortänderungen, sondern bleibt auch nach einer vollständigen Neuinstallation des Geräts aktiv. Dies verschafft den Angreifern einen dauerhaften Zugriff auf die Mailboxen, selbst wenn Anmeldedaten im Rahmen einer Sicherheitsroutine rotiert werden.
Wer sich mit der Sicherheit seiner E-Mail-Kommunikation befasst, sollte auch die grundlegenden Einstellungen seines Mail-Clients beherrschen. Dieser kostenlose Experten-Ratgeber enthüllt die wichtigsten Konfigurationen und Registry-Tricks, die über den Standard-Schutz hinausgehen. Wichtige Outlook-Einstellungen und Sicherheits-Tricks jetzt kostenlos entdecken
Betroffene Branchen und IT-Infrastruktur der Angreifer
Die aktuelle Angriffskampagne, die nach vorliegenden Daten am 22. Juli 2026 begann, weist ein breites Zielspektrum auf. Berichten zufolge konzentriert sich die Gruppe TA488 vor allem auf Organisationen in den USA und Europa. Besonders betroffen sind Institutionen aus dem Regierungssektor sowie Unternehmen der Branchen Telekommunikation, Finanzen, Luftfahrt und das Hotelwesen.
Die für die Kampagne genutzte Infrastruktur ist bereits seit März 2026 aktiv. Die Angreifer setzen für ihre Command-and-Control-Kommunikation (C2) auf eine Kombination aus GitHub, E-Mail-Diensten und spezifischen Domains. Zu den identifizierten bösartigen Webadressen gehören unter anderem asecdns[.]com, acocdn[.]com, dnsrecursive[.]eu und tdndns[.]com. Sowohl das Unternehmen Proofpoint als auch die US-Sicherheitsbehörde NSA haben offizielle Warnungen vor der aktiven Ausnutzung dieser Sicherheitslücke durch TA488 herausgegeben.
Angesichts immer komplexerer Bedrohungsszenarien wie dem Diebstahl von OAuth-Tokens benötigen Unternehmen proaktive Schutzstrategien. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Sicherheitslücken effektiv schließen und aktuelle gesetzliche Anforderungen an die IT-Sicherheit erfüllen. Gratis E-Book: Cyber-Bedrohungen abwenden und Unternehmen schützen
Patch-Status und bereitgestellte Schutzmaßnahmen
Microsoft hatte die Schwachstelle CVE-2026-42897 bereits am 14. Mai 2026 offengelegt. Zu diesem Zeitpunkt wurden erste Abhilfemaßnahmen zur Risikominimierung bereitgestellt. Ein umfassender Sicherheitspatch folgte am 9. Juni 2026, wobei weitere Aktualisierungen im Juli 2026 veröffentlicht wurden. Von der Sicherheitslücke betroffen sind Installationen von Exchange Server 2016, Exchange Server 2019 sowie die Subscription Edition (SE).
Um den Schutz der Nutzer weiter zu erhöhen, führte Microsoft am 30. Juli 2026 neue Automatisierungsregeln für Outlook ein. Experten raten Administratoren dringend dazu, die bereitgestellten Sicherheitsupdates umgehend einzuspielen, da die aktive Ausnutzung durch staatlich motivierte oder hochspezialisierte Akteure wie TA488 ein erhebliches Risiko für die Integrität von Unternehmensdaten darstellt. Ungepatchte Systeme bleiben für den Zugriff auf sensible Kommunikation und OAuth-basierte Dienste anfällig.
