OWAReaper: l’attacco “half-click” che sfrutta Exchange per mantenere l’accesso alle caselle email

La vulnerabilità CVE-2026-42897 e l’attacco “half-click”

La falla nasce da una sanitizzazione insufficiente del codice HTML contenuto nel corpo delle email elaborate da OWA . In un attacco di phishing tradizionale, l’utente deve generalmente cliccare su un collegamento o aprire un file. In questo caso, invece, è sufficiente visualizzare un messaggio appositamente predisposto in una versione vulnerabile di OWA: il codice JavaScript controllato dall’aggressore viene eseguito nel contesto della sessione email autenticata della vittima .

Per questo Proofpoint descrive la tecnica come un exploit “half-click”, cioè un attacco che richiede un’interazione minima . Secondo le analisi disponibili, il payload può tentare di sottrarre gli ultimi 90 giorni di comunicazioni email, la Global Address List dell’organizzazione e altre informazioni sensibili .

Microsoft ha divulgato CVE-2026-42897 il 14 maggio 2026 e ha pubblicato un aggiornamento di sicurezza. La vulnerabilità ha un punteggio CVSS di 8,1, classificato come alto . Tuttavia, quando è iniziata la campagna di TA488, molte organizzazioni non avevano ancora installato la correzione .

La falla riguarda le implementazioni on-premises, cioè i server Exchange gestiti direttamente dall’organizzazione. Exchange Online non è interessato . I bersagli osservati comprendono enti governativi statunitensi ed europei, oltre a organizzazioni dei settori telecomunicazioni, finanza, ospitalità e aerospazio .

Come OWAReaper mantiene la persistenza

OWAReaper opera interamente nel contesto del browser usato per OWA e non lascia necessariamente file sul sistema operativo del dispositivo compromesso . La sua efficacia deriva dalla combinazione di più livelli di persistenza.

1. Una copia nascosta nella memoria del browser

L’impianto conserva una copia cifrata di sé nel localStorage del browser e modifica la cache offline dei messaggi OWA inserendo un iframe nascosto . Poiché il codice risiede nello spazio di archiviazione del browser anziché nel file system del computer, può sopravvivere al riavvio del browser, alla reinstallazione del sistema operativo e persino alla cancellazione e al ripristino completo del dispositivo, se il profilo del browser viene mantenuto o nuovamente sincronizzato .

Questa componente browser-based non equivale da sola a un accesso permanente in ogni scenario: la persistenza dipende dal mantenimento o dal ripristino dei dati del profilo e dal successivo utilizzo di OWA. È però sufficiente a far riemergere l’impianto quando l’utente torna a usare la webmail.

2. I permessi della casella vengono modificati sul server

Il meccanismo più duraturo avviene direttamente su Exchange. OWAReaper verifica la presenza di componenti aggiuntivi Outlook dotati del permesso ReadWriteMailbox. Quando ne individua uno, può abusarne per sottrarre token OAuth tramite la richiesta GetClientAccessToken .

Con il token ottenuto, la backdoor utilizza l’API UpdateFolder per assegnare al cosiddetto utente “Default” — un alias preimpostato a bassa autorizzazione presente nei tenant Exchange — permessi di livello Owner su tutte le cartelle della casella .

Il risultato è particolarmente grave: qualunque utente autenticato nella stessa organizzazione Exchange può ottenere accesso completo alla casella interessata . Soprattutto, queste modifiche vengono memorizzate lato server, all’interno di Exchange, e non sul computer dell’utente. Di conseguenza, il reset della password, la rotazione delle credenziali o la reinstallazione dell’immagine del dispositivo non rimuovono i permessi già inseriti dall’attaccante .

Come ha avvertito Proofpoint, l’accesso persistente risiede sul server e deve essere rimosso intenzionalmente da Exchange: la rotazione delle credenziali e perfino la completa reinstallazione del dispositivo non sono sufficienti a espellere l’aggressore .

3. Cancellazione delle tracce e canali ridondanti

Dopo l’esecuzione, OWAReaper rimuove il codice dell’exploit dal messaggio archiviato sul server Exchange, riducendo la quantità di elementi disponibili per l’analisi forense . L’impianto utilizza inoltre due canali di comando e controllo e due protocolli per l’esfiltrazione dei dati, così da rendere più resiliente la comunicazione con gli operatori .

Perché installare la patch non basta

L’aggiornamento per CVE-2026-42897 chiude la porta d’ingresso, ma non annulla i permessi sulle cartelle che OWAReaper potrebbe aver già creato . Un’organizzazione può quindi risultare ancora compromessa anche dopo aver aggiornato tutti i server Exchange, se l’impianto è stato installato prima della correzione.

La risposta deve includere almeno:

• l’audit dei permessi sulle cartelle delle caselle potenzialmente compromesse e la rimozione di autorizzazioni Owner non autorizzate ;
• la cancellazione dei dati OWA presenti nel localStorage del browser, secondo le procedure di bonifica dell’organizzazione ;
• l’analisi dei componenti aggiuntivi Outlook che dispongono di permessi ReadWriteMailbox ;
• la rotazione dei token OAuth che potrebbero essere stati sottratti ;
• la verifica che l’aggiornamento di sicurezza Exchange del maggio 2026 sia installato su tutti i server locali.

Il punto centrale è distinguere tra rimuovere la vulnerabilità e rimuovere l’accesso già ottenuto. La prima operazione impedisce nuovi sfruttamenti; la seconda richiede un intervento mirato sui server Exchange, sui permessi delle caselle, sui componenti aggiuntivi e sui profili browser coinvolti .