OWAReaper Backdoor: Wie Laundry Bear CVE-2026-42897 für dauerhaften Exchange-Mailbox-Zugriff ausnutzt

Wie der „Half-Click“-Exploit CVE-2026-42897 funktioniert

CVE-2026-42897 ist eine Cross-Site-Scripting-Lücke, die durch eine unzureichende Bereinigung von HTML-Code in E-Mail-Texten entsteht, die in Outlook Web Access verarbeitet werden . Anders als bei herkömmlichen Phishing-Angriffen muss das Opfer weder auf einen Link klicken noch einen Anhang öffnen. Es reicht aus, die manipulierte E-Mail in OWA zu öffnen – der XSS-Code wird sofort ausgeführt und führt im authentifizierten Browserfenster des Opfers Schadcode aus . Proofpoint bezeichnet dies als „Half-Click“-Exploit .

Microsoft hat die Lücke am 14. Mai 2026 offengelegt und einen Patch bereitgestellt (CVSS 8.1, hoher Schweregrad) . Dennoch hatten viele Organisationen das Update bis zum Beginn der TA488-Kampagne Ende Juli nicht installiert, sodass die Angriffsfläche offen blieb . Betroffen sind Regierungseinrichtungen in den USA und Europa sowie Unternehmen aus den Bereichen Telekommunikation, Finanzen, Gastgewerbe und Luft- und Raumfahrt . Exchange Online ist nicht betroffen – nur lokale Exchange-Server-Installationen sind verwundbar .

Wie OWAReaper dauerhaften Zugriff ermöglicht

OWAReaper ist eine JavaScript-Hintertür, die vollständig im Browserkontext von OWA läuft und keine Dateien auf dem Gerät des Opfers hinterlässt . Ihre Persistenz beruht auf zwei voneinander unabhängigen Mechanismen, die sich gegenseitig verstärken.

1. Browserlokale Persistenz über localStorage

OWAReaper speichert eine verschlüsselte Kopie seiner selbst im localStorage des Browsers und ändert den Offline-Nachrichten-Cache von OWA, indem es ein verstecktes Iframe einfügt . Da die Hintertür im Browser-Speicher und nicht im Dateisystem lebt, übersteht sie Browser-Neustarts, eine Neuinstallation des Betriebssystems und sogar eine vollständige Gerätelöschung und -wiederherstellung – solange der Benutzer OWA erneut öffnet oder das Browserprofil über die Browser-Synchronisation wiederhergestellt wird .

2. Missbrauch von Server-seitigen Postfachberechtigungen

Der langlebigste Persistenzmechanismus von OWAReaper läuft serverseitig ab. Die Hintertür prüft, ob Outlook-Add-Ins mit der Berechtigung ReadWriteMailbox installiert sind . Falls ja, nutzt sie diese aus, um OAuth-Tokens zu stehlen (mittels GetClientAccessToken-API-Aufruf) . Mit dem gestohlenen Token ruft OWAReaper die Exchange-UpdateFolder-Schnittstelle auf und gewährt sich selbst Besitzerrechte (Owner-Level) für den Benutzer „Default“ – einen vordefinierten, niedrig privilegierten Alias in allen Microsoft Exchange-Mandanten – auf jedem Ordner des Postfachs .

Das bedeutet: Jeder authentifizierte Benutzer in derselben Exchange-Organisation hat vollen Zugriff auf dieses Postfach . Diese Berechtigungsänderungen werden serverseitig in Exchange gespeichert, nicht auf dem Endgerät. Passwortwechsel, Austausch von Zugangsdaten und Geräte-Neuinstallationen haben darauf keine Auswirkung . Proofpoint warnt: „Dieser dauerhafte Zugriff lebt serverseitig und muss bewusst vom Exchange-Server entfernt werden; der Austausch von Zugangsdaten oder eine vollständige Neuinstallation des Geräts des betroffenen Benutzers wird den Angreifer nicht vertreiben.“

3. Tarnung und Gegenmaßnahmen zur Forensik

Nach der Ausführung entfernt OWAReaper den Exploit-Code aus der gespeicherten E-Mail auf dem Exchange-Server, was die forensische Spurensuche erschwert . Die Hintertür nutzt zwei verschiedene Kommunikationskanäle und zwei Protokolle zur Datenexfiltration, um eine widerstandsfähige Command-and-Control-Infrastruktur zu gewährleisten .

Wichtige Konsequenzen für die Bereinigung

Der ursprüngliche Patch (CVE-2026-42897) schließt die Eintrittspforte, widerruft aber nicht die Exchange-Ordnerberechtigungen, die OWAReaper bereits erteilt hat . Selbst vollständig gepatchte Organisationen bleiben kompromittiert, wenn OWAReaper vor dem Patchen installiert wurde. Eine wirksame Bereinigung erfordert:

• Die Überprüfung und Entfernung nicht autorisierter Besitzerberechtigungen für Postfachordner auf dem Exchange-Server für möglicherweise kompromittierte Postfächer .
• Das Leeren des Browser-LocalStorage für OWA, um die im Browser gespeicherte Kopie der Hintertür zu entfernen .
• Die Untersuchung verdächtiger Outlook-Add-Ins mit ReadWriteMailbox-Berechtigungen .
• Den Austausch gestohlener OAuth-Tokens .

Organisationen sollten außerdem sicherstellen, dass das Exchange-Sicherheitsupdate vom Mai 2026 auf allen lokalen Servern installiert ist, wobei klar sein muss: Der Patch allein genügt nicht, wenn die Hintertür bereits platziert wurde .