Cómo el grupo ruso Laundry Bear explota CVE-2026-42897 para colarse en el correo corporativo y quedarse para siempre

Microsoft reveló la vulnerabilidad el 14 de mayo de 2026 y publicó un parche (CVSS 8.1, gravedad alta) . Sin embargo, muchas organizaciones no habían aplicado la actualización cuando comenzó la campaña de TA488 a finales de julio, dejando abierta la puerta de entrada . El exploit ha atacado a entidades gubernamentales de Estados Unidos y Europa, así como a los sectores de telecomunicaciones, finanzas, hostelería y aeroespacial . Exchange Online no se ve afectado; solo las implementaciones de Exchange Server on-premises son vulnerables .

Cómo OWAReaper logra un acceso persistente

OWAReaper es un implante basado en JavaScript que se ejecuta completamente dentro del contexto del navegador OWA y no deja ninguna huella a nivel de archivo en el dispositivo de la víctima . Su persistencia se basa en dos mecanismos independientes que se refuerzan mutuamente.

1. Persistencia local en el navegador mediante localStorage

OWAReaper almacena una copia cifrada de sí mismo en el localStorage del navegador y modifica la caché de mensajes sin conexión de OWA con un iframe oculto . Dado que el implante reside en el almacenamiento del navegador y no en el sistema de archivos, sobrevive a reinicios del navegador, al formateo del sistema operativo e incluso al borrado y restauración completa del dispositivo, siempre que el usuario vuelva a abrir OWA o el perfil del navegador se re-sincronice mediante la sincronización del navegador .

2. Abuso de permisos de buzón en el servidor

El mecanismo de persistencia más duradero de OWAReaper opera del lado del servidor. Comprueba si hay complementos de Outlook instalados con permisos ReadWriteMailbox . Si los encuentra, abusa de ellos para robar tokens OAuth mediante la solicitud de operación GetClientAccessToken . Usando el token robado, el backdoor llama a la API UpdateFolder de Exchange para otorgarse a sí mismo permisos de nivel 'Propietario' sobre el usuario 'Predeterminado' (un alias de permisos bajos presente en todos los inquilinos de Microsoft Exchange) en todas las carpetas del buzón .

Esto significa que cualquier usuario autenticado en la misma organización de Exchange tiene acceso completo a ese buzón . Estos cambios de permisos se almacenan en el servidor de Exchange, no en el endpoint. El restablecimiento de contraseñas, la rotación de credenciales y el formateo del dispositivo no tienen ningún efecto sobre ellos . Como advirtió Proofpoint: "Este acceso persistente reside en el lado del servidor y requiere una eliminación deliberada desde el servidor Exchange; la rotación de credenciales e incluso el formateo completo del dispositivo del usuario objetivo no expulsarán al actor" .

3. Sigilo y antiforense

Después de la ejecución, OWAReaper elimina el código del exploit del mensaje de correo almacenado en el servidor Exchange, reduciendo la visibilidad forense . Utiliza dos canales de comunicación de comando y control y dos protocolos de exfiltración de datos para mantener un comando y control resiliente .

Implicaciones clave para la remediación

El parche original (CVE-2026-42897) cierra el vector de entrada, pero no revoca los permisos de las carpetas de Exchange que OWAReaper ya ha otorgado . Incluso las organizaciones completamente parcheadas siguen comprometidas si OWAReaper se desplegó antes de aplicar el parche. La remediación efectiva requiere:

• Auditar y eliminar los permisos de carpeta de buzón no autorizados a nivel 'Propietario' en el servidor Exchange para los buzones que puedan haber sido comprometidos .
• Limpiar el localStorage del navegador para OWA para eliminar la copia del implante residente en el navegador .
• Investigar cualquier complemento de Outlook sospechoso con permisos ReadWriteMailbox .
• Rotar los tokens OAuth que puedan haber sido robados .

Las organizaciones también deben verificar que la actualización de seguridad de Exchange de mayo de 2026 se haya aplicado en todos los servidores on-premises, reconociendo al mismo tiempo que solo parchear es insuficiente si el backdoor ya se desplegó .