La porte dérobée OWAReaper exploite CVE-2026-42897 pour un accès persistant aux boîtes aux lettres Exchange

Microsoft a divulgué la faille le 14 mai 2026, et a publié un correctif. Cependant, de nombreuses organisations n'avaient pas appliqué cette mise à jour au moment où TA488 a lancé sa campagne fin juillet, laissant la porte ouverte . Les cibles identifiées sont des entités gouvernementales aux États-Unis et en Europe, ainsi que les secteurs des télécommunications, de la finance, de l'hôtellerie et de l'aérospatial . Il est important de noter qu'Exchange Online (la version cloud) n'est pas affectée : seules les installations sur site d'Exchange Server sont vulnérables .

Comment OWAReaper assure un accès persistant

OWAReaper est un implant JavaScript qui s'exécute entièrement dans le navigateur lors de l'utilisation d'OWA. Il ne laisse aucune trace sur le système de fichiers du poste de la victime . Sa persistance repose sur deux mécanismes indépendants et complémentaires.

1. Persistance locale dans le navigateur (localStorage)

OWAReaper stocke une copie chiffrée de lui-même dans le localStorage du navigateur et modifie le cache des messages hors ligne d'OWA en y insérant un iframe caché . Comme l'implant vit dans le stockage du navigateur, il survit à un redémarrage du navigateur, à une réinstallation complète du système d'exploitation et même à un effacement et une restauration intégrale du poste (à condition que le profil utilisateur du navigateur soit resynchronisé) .

2. Détournement des permissions côté serveur

Le mécanisme de persistance le plus durable d'OWAReaper opère côté serveur, sur Exchange. Il commence par vérifier la présence de compléments Outlook (add-ins) dotés de la permission ReadWriteMailbox . S'il en trouve, il les utilise pour voler les jetons OAuth via une requête GetClientAccessToken .

Fort de ce jeton, le backdoor appelle l'API UpdateFolder d'Exchange pour s'accorder, à lui-même, les droits de niveau Propriétaire sur l'utilisateur « Default » (un alias de droits faibles présent dans tous les locataires Exchange) pour chaque dossier de la boîte aux lettres .

Conséquence directe : tout utilisateur authentifié dans la même organisation Exchange peut désormais accéder à l'intégralité de cette boîte aux lettres . Ces modifications de permissions sont stockées sur le serveur Exchange, pas sur le poste client. Par conséquent, les réinitialisations de mot de passe, la rotation des identifiants et la réimagerie du poste sont totalement inefficaces pour les révoquer . Comme le souligne Proofpoint : « Cet accès persistant vit sur le serveur et nécessite une suppression délibérée ; la rotation des identifiants ou la réimagerie complète du poste ne permettront pas d'expulser l'acteur. »

3. Discrétion et anti-forensique

Pour compliquer la détection, OWAReaper supprime le code de l'exploit du message électronique stocké sur le serveur Exchange après son exécution, réduisant ainsi la visibilité forensique . Il utilise également deux canaux de communication distincts avec son serveur de commande et contrôle (C2) et deux protocoles d'exfiltration de données distincts, assurant une résilience accrue .

Conséquences pour la remédiation : le correctif ne suffit pas

Le correctif du 14 mai 2026 (CVE-2026-42897) ferme la porte d'entrée, mais il ne révoque pas les permissions que OWAReaper a déjà accordées .

Si le backdoor a été déployé avant l'application du correctif, l'organisation reste compromise. Une remédiation efficace nécessite donc des actions bien plus poussées :

1. Auditer et supprimer les permissions de niveau Propriétaire non autorisées sur les dossiers des boîtes aux lettres, directement sur le serveur Exchange .
2. Vider le localStorage du navigateur pour chaque utilisateur ayant utilisé OWA, afin d'éliminer la copie locale de l'implant .
3. Examiner attentivement tous les compléments Outlook disposant de la permission ReadWriteMailbox et supprimer ceux qui sont suspects ou inconnus .
4. Révoquer et renouveler les jetons OAuth qui ont pu être volés .

Enfin, les organisations doivent impérativement vérifier que la mise à jour de sécurité de mai 2026 a bien été appliquée sur tous leurs serveurs Exchange, en gardant à l'esprit qu'il s'agit d'une première étape et non d'une solution suffisante si la compromission a déjà eu lieu .