Sicherheitsexperten von Proofpoint berichten über eine laufende Cyber-Kampagne der staatlich gestützten russischen Gruppierung Laundry Bear, die auch unter den Bezeichnungen TA488 oder Void Blizzard bekannt ist. Seit dem 22. Juli 2026 nutzt die Gruppe eine spezifische Schwachstelle in Outlook Web Access (OWA), um ein hochgradig spezialisiertes, browserbasiertes Implantat namens OWAReaper in den Netzwerken strategisch bedeutsamer Ziele zu platzieren.
Die Angriffe richten sich primär gegen Organisationen in den USA und Europa. Dabei stehen die Sektoren Regierung, Telekommunikation, Finanzen sowie das Gastgewerbe und die Luft- und Raumfahrt im Fokus der Angreifer. Laut vorliegenden Analysen gilt die Kampagne als eine der bisher technisch fortschrittlichsten Operationen dieser Gruppe.
Funktionsweise des „Half-Click“-Exploits
Der Angriff nutzt die Sicherheitslücke CVE-2026-42897 aus, bei der es sich um eine Cross-Site-Scripting-Schwachstelle (XSS) in der Web-Oberfläche von Outlook handelt. Das Besondere an dieser Methode ist die Einstufung als „Half-Click“-Exploit. Demnach ist keine aktive Interaktion des Nutzers mit einem Link oder Dateianhang erforderlich; das bloße Öffnen einer präparierten E-Mail im Lesebereich von Outlook Web Access genügt, um die Installation des OWAReaper-Implantats auszulösen.
Sobald die Infektion erfolgreich ist, geht das Implantat dazu über, den ursprünglichen Exploit-Code vom Server zu entfernen, um Entdeckungschancen zu minimieren. OWAReaper ist darauf programmiert, Anmeldedaten zu entwenden. Durch den Missbrauch von OAuth-Tokens verschaffen sich die Angreifer zudem Besitzerberechtigungen auf Owner-Level für den Benutzer „Default“.
Angesichts der zunehmenden Professionalität staatlich gestützter Hackerangriffe wird ein proaktiver Schutz vor Cyberbedrohungen für Unternehmen lebenswichtig. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Neue KI-Gesetze und Cyberrisiken jetzt entdecken
Server-seitige Persistenz und Datendiebstahl
Die technische Analyse zeigt, dass OWAReaper eine verschlüsselte Kopie der gestohlenen Zugangsdaten im localStorage des Browsers hinterlegt. Zusätzlich injizieren die Akteure ein iframe in die IndexedDB des Browsers. Die Persistenz des Angriffs wird serverseitig über spezifische Ordnerberechtigungen und einen Offline-Cache sichergestellt. Dies führt dazu, dass das Implantat herkömmliche Sicherheitsmaßnahmen wie Passwortänderungen oder das Neuaufsetzen von Endgeräten überdauert.
Die Kommunikation mit dem Command-and-Control-Server (C2) erfolgt auf unkonventionellem Weg über GitHub-Commits und E-Mail-Verkehr. Für den eigentlichen Abfluss der Daten nutzen die Angreifer HTTPS- und DNS-Protokolle. Während lokale Installationen und hybride Umgebungen gefährdet sind, ist der Cloud-Dienst Exchange Online nach aktuellem Kenntnisstand nicht von diesem spezifischen Angriff betroffen.
Da Hacker zunehmend psychologische Schwachstellen und technische Hintertüren für den Datendiebstahl nutzen, benötigen Firmen eine klare Strategie zur Abwehr. Erfahren Sie im kostenlosen Anti-Phishing-Paket, wie Sie Ihr Unternehmen in 4 Schritten effektiv vor Cyberkriminalität schützen. Kostenlosen Leitfaden zur Hacker-Abwehr sichern
Ursprung und zeitliche Einordnung
Untersuchungen der Angreifer-Infrastruktur ergaben, dass diese bereits im März 2026 vorbereitet wurde. Dies deutet darauf hin, dass die Gruppe Laundry Bear die Schwachstelle bereits als Zero-Day-Lücke ausnutzte, bevor Microsoft am 14. Mai 2026 einen entsprechenden Sicherheitspatch zur Verfügung stellte.
Branchenexperten bringen Laundry Bear mit dem russischen IT-Unternehmen Yutek-NN sowie dem russischen Inlandsgeheimdienst FSB in Verbindung. Aufgrund der Komplexität der Kampagne und der Fähigkeit des Implantats, sich tief im System zu verankern, stellt die Erkennung eine Herausforderung für IT-Sicherheitsabteilungen dar. Experten weisen darauf hin, dass eine Identifizierung der Aktivitäten nur durch eine schichtübergreifende Korrelation von Ereignissen möglich ist. Dazu müssen insbesondere Änderungen an Postfachberechtigungen, Aktivitäten von Add-ins sowie OAuth-Ereignisse genauestens überwacht und miteinander in Verbindung gesetzt werden.
