La cinci zile după alerta pe Zimbra, LAUNDRY BEAR a trecut pe Exchange OWA. Iar noul backdoor supraviețuiește schimbării parolei

Pe 23 iulie 2026, autorități de securitate cibernetică din 15 țări au publicat o alertă comună despre gruparea LAUNDRY BEAR, care exploata o vulnerabilitate din Zimbra pentru a fura conținutul cutiilor poștale la simpla afișare a unui email. Am scris atunci despre acea alertă. Pe 29 iulie — la cinci zile distanță — a fost raportată aceeași grupare exploatând o vulnerabilitate nouă, de aceeași natură, într-un produs complet diferit: Microsoft Exchange Outlook Web Access.

CVE-2026-42897: aceeași logică, alt produs

Vulnerabilitatea provine dintr-o sanitizare incompletă a conținutului HTML în modul în care OWA procesează mesajele primite. Codul atacatorului se execută la deschiderea sau previzualizarea emailului în interfața web, fără ca victima să apese vreun link — același tipar de exploatare half-click descris anterior la Zimbra.

Livrarea este însă mai discretă decât în campania precedentă: payload-ul ajunge prin fragmente codificate Base64 ascunse în URL-urile unor pictograme de rețele sociale din corpul mesajului. Rezultatul este instalarea unui backdoor denumit OWAReaper.

Persistența care nu se rezolvă cu o parolă nouă

Aici stă diferența practică față de un furt obișnuit de credențiale. OWAReaper își acordă permisiuni de nivel Owner asupra folderelor de mail, folosind API-urile Exchange. Accesul nu mai depinde de parola utilizatorului, ci de o permisiune înscrisă în cutia poștală — deci supraviețuiește rotației de credențiale și chiar reinstalării stației de lucru. Un al doilea mecanism injectează cod în emailurile păstrate în cache local.

Ce se fură și pe cine vizează

• Adrese de email și credențiale.
• Datele de configurare Outlook.
• Tokenuri OAuth, obținute prin add-in-uri compromise.
• Corespondența accesată prin permisiunile persistente pe cutia poștală.

Țintele raportate includ entități guvernamentale din Statele Unite și Europa, alături de organizații din telecomunicații, servicii financiare, ospitalitate și industria aerospațială. Rapoartele de intelligence din 31 iulie listau campania ca fiind în continuare activă.

Acțiuni pentru organizațiile care folosesc Exchange

• Aplicarea patch-ului Microsoft pentru CVE-2026-42897 pe serverele Exchange cu OWA expus.
• Auditul permisiunilor delegate pe cutiile poștale: o permisiune de tip Owner apărută fără o cerere documentată trebuie tratată ca indicator de compromitere, nu ca setare uitată.
• Inventarierea și revizuirea add-in-urilor Outlook aprobate în tenant, cu atenție la cele care cer acces la conținutul mesajelor.
• Revocarea tokenurilor OAuth active, nu doar schimbarea parolelor — un token valid rămâne utilizabil independent de credențiale.
• Monitorizarea jurnalelor pentru modificări de permisiuni pe cutii poștale, ca detecție continuă, nu ca verificare unică.
• Revizuirea jurnalelor de acces la email pentru perioada de dinaintea aplicării patch-ului.

Ce înseamnă asta pentru instruirea angajaților

Merită spus direct, deși vine de la o platformă de instruire: în exploatarea half-click, awareness-ul are o influență foarte mică. Nu există un indiciu vizual pe care angajatul să îl recunoască și nicio decizie greșită pe care să o evite — mesajul poate părea banal, iar simpla lui afișare în panoul de previzualizare este suficientă. A prezenta trainingul drept apărare împotriva acestui vector ar fi incorect.

Ce rămâne util din partea oamenilor este raportarea rapidă a anomaliilor din cutia poștală — reguli de redirecționare pe care nu le-au creat, mesaje marcate ca citite fără să fi fost deschise, foldere care apar fără explicație. Acestea sunt printre puținele semne vizibile ale unui acces persistent, iar un angajat care le semnalează scurtează semnificativ durata compromiterii.

Pentru contrast, la cealaltă extremă a spectrului stau atacurile în care utilizatorul face practic toată munca atacatorului. Despre acestea am scris în articolul dedicat tehnicii ClickFix, publicat în aceeași zi.