OWAReaper : Laundry Bear survit à la rotation d'identifiants via un XSS demi-clic dans Outlook Web Access

Rapport CTI technique du 31 juillet 2026

Résumé exécutif

Depuis le 22 juillet 2026, le groupe russe Laundry Bear (alias Void Blizzard, TA488, CL-STA-1114, UNK_PitStop) exploite CVE-2026-42897, une vulnérabilité XSS notée 8.1 sur l'échelle CVSS dans Outlook Web Access, pour livrer un implant baptisé OWAReaper. Proofpoint, qui suit la campagne, décrit un exploit « demi-clic » : la simple ouverture d'un email piégé dans le volet de lecture OWA suffit à déclencher l'exécution de JavaScript malveillant, sans lien ni pièce jointe. Les cibles couvrent des entités gouvernementales aux États-Unis et en Europe, ainsi que les secteurs des télécommunications, de la finance, de l'hôtellerie et de l'aérospatiale.

Ce qui distingue OWAReaper des campagnes de vol de courriels classiques est son mécanisme de persistance côté serveur. L'implant abuse des permissions ReadWriteMailbox de modules complémentaires Outlook déjà installés pour voler des jetons OAuth, puis s'accorde des droits Owner sur chaque dossier de messagerie via l'alias système « Default ». Ces permissions étant stockées côté serveur Exchange, ni la réinitialisation du mot de passe de la victime ni la réimagerie de son poste ne suffisent à couper l'accès de l'attaquant. Proofpoint relie cette opération à ZimReaper, un implant précédemment déployé par le même groupe contre des serveurs Zimbra via une autre faille XSS, CVE-2025-66376.

Chronologie

Fiche d'acteur / campagne

Laundry Bear (Void Blizzard, TA488, CL-STA-1114, UNK_PitStop) | Attribution : acteur russe suivi par Microsoft et Proofpoint | TTP principale : exploit XSS demi-clic sur webmail pour espionnage de boîtes aux lettres

CVE-2026-42897, CVSS 8.1, composant affecté : Microsoft Exchange Outlook Web Access. La faille provient d'une sanitisation HTML insuffisante côté serveur lors du rendu du corps des messages, ce qui permet l'exécution de JavaScript arbitraire dès l'ouverture de l'email dans le volet de lecture. Proofpoint qualifie cette classe d'exploit de « demi-clic » : contrairement au phishing classique, aucun clic sur un lien ni ouverture de pièce jointe n'est nécessaire, seule la prévisualisation du message suffit.

Conditions d'exploitation : la victime doit consulter un email spécialement conçu dans l'interface OWA. Les sujets utilisés par Laundry Bear sont volontairement anodins (analyses de chaîne d'approvisionnement, indicateurs touristiques ou gaziers) pour que la cible ouvre le message sans le signaler comme suspect, faute d'URL ou de pièce jointe visible.

PoC disponible : non publié publiquement. Le groupe exploitait la faille en zero-day depuis mars 2026 selon Proofpoint, avant l'avis Microsoft du 14 mai.

Patch/mitigation : appliquer le correctif Microsoft du 14 mai 2026 pour CVE-2026-42897. Le correctif ferme le vecteur d'exécution initial, mais ne révoque pas les permissions de dossier déjà accordées à un compte compromis avant le patch : un nettoyage des permissions Exchange est nécessaire en complément (voir checklist de remédiation).

Diagramme de la chaîne d'attaque

Reconstruction technique basée sur le rapport Proofpoint du 29 juillet 2026 et sa reprise par BleepingComputer et Help Net Security.

Analyse technique

Étape 1 : livraison et déclenchement du XSS demi-clic

Laundry Bear envoie un email dont le corps HTML embarque un chargeur JavaScript et des blobs de charge utile encodés en Base64, dissimulés après le caractère « # » dans des URL d'icônes de réseaux sociaux. À l'ouverture du message dans OWA, la sanitisation HTML défaillante laisse passer ce code, qui s'exécute dans le contexte du navigateur de la victime, à l'intérieur même du volet de lecture.

Étape 2 : exécution d'OWAReaper et collecte initiale

Le JavaScript déployé constitue OWAReaper, décrit par Proofpoint comme le backdoor le plus sophistiqué observé à ce jour sur ce type de vecteur demi-clic. Une fois actif, il utilise les API Outlook pour réécrire le message sur le serveur Exchange et supprimer le contenu de l'exploit, désactive les popups OWA et le clic droit pendant son exécution, puis collecte l'adresse email, le nom d'utilisateur et les paramètres Outlook du compte compromis.

Étape 3 : vol de jetons OAuth via les modules complémentaires existants

OWAReaper recherche les modules complémentaires Outlook installés disposant de la permission ReadWriteMailbox et exploite l'opération GetClientAccessToken pour dérober leurs jetons OAuth. Cette étape ne nécessite l'installation d'aucun nouvel add-in : l'implant se contente d'abuser de la confiance déjà accordée à des modules légitimes.

Étape 4 : persistance côté serveur via UpdateFolder

Avec le jeton volé, l'implant appelle l'opération UpdateFolder pour s'accorder des droits de niveau Owner sur chaque dossier de messagerie, au bénéfice de l'alias système à faibles privilèges « Default », présent par défaut sur tous les tenants Exchange. Cette permission étant configurée côté serveur, elle survit à un changement de mot de passe ou à une réimagerie complète du poste de la victime, et permet un accès à la boîte depuis n'importe quel compte authentifié de l'organisation.

Étape 5 : commande, contrôle et exfiltration à double canal

OWAReaper dispose de deux canaux de commande : une consultation toutes les 24 heures de l'API de recherche de commits GitHub pour récupérer des messages chiffrés correspondant à un format précis incluant l'adresse email de la cible, et une lecture directe des corps de message en cache dans l'IndexedDB local d'OWA suivant le motif « adresse_email texte_base64 ». L'exfiltration principale transite en HTTPS via des chemins d'URI chiffrés en AES-CTR, proxifiés à travers des domaines de CDN d'images, avec un repli en exfiltration DNS encodée en Base32 si le canal principal échoue.

Indicateurs de compromission

MITRE ATT&CK

Aucune cartographie officielle MITRE n'a été publiée pour cette campagne spécifique dans les sources disponibles : le tableau suivant est une lecture technique propre à cette analyse, pas une attribution vendeur.

Remédiation : checklist opérationnelle

1. Confirmer l'application du correctif Microsoft du 14 mai 2026 pour CVE-2026-42897 sur l'ensemble des serveurs Exchange exposant OWA.
2. Auditer les permissions de dossier de messagerie de tous les comptes pour repérer des droits Owner anormaux accordés à l'alias « Default », signature directe de la persistance OWAReaper.
3. Réémettre les jetons OAuth de tous les modules complémentaires Outlook disposant de la permission ReadWriteMailbox, en plus d'une simple rotation de mot de passe qui ne suffit pas à couper l'accès.
4. Traiter tout compte suspecté de compromission comme nécessitant une révocation explicite des permissions de dossier côté serveur, pas seulement une réinitialisation d'identifiants ou une réimagerie de poste.
5. Mettre en place une règle de détection sur les URL d'icônes contenant des blobs Base64 après le caractère « # » dans le corps HTML des messages entrants.
6. Surveiller le trafic sortant vers l'API de recherche de commits GitHub depuis les plages IP internes, canal C2 atypique pour un environnement de messagerie d'entreprise.
7. Mettre en place une détection sur les volumes anormaux de requêtes DNS avec charges utiles encodées en Base32, indicateur du canal d'exfiltration de repli.
8. Sensibiliser les utilisateurs à haut risque : signaler tout email inhabituel même sans lien ni pièce jointe visible, puisque le seul déclencheur ici est l'ouverture du message.

Sources

• Russian hackers exploit Exchange OWA zero-day for long-term mailbox access - BleepingComputer
• Laundry Bear's new Microsoft Exchange attack triggers on email open (CVE-2026-42897) - Help Net Security
• Russian hackers turn Exchange flaw into 'half-click' mailbox takeover - CSO Online
• Russian Group Laundry Bear Exploited Exchange Zero-Day in OWA Attack