Newsletter Subscribe
Enter your email address below and subscribe to our newsletter
[forminator_form id="25163"]
All voices matter
Venäläishakkerit asensivat Exchange-takaportin, joka kestää salasanan vaihdot
- Proofpoint paljasti, että Venäjän liittolaisryhmä TA488 hyödynsi Microsoft Exchange -sähköpostin sivustojen välistä komentosarja-aukkoa (XSS) Yhdysvaltain ja Euroopan virastojen kohteena.
csoonline+1 - OWAReaper-haittaohjelma aktivoituu sähköpostin avaamisesta ja antaa palvelintason pääsyn postilaatikkoon, joka säilyy vaikka tunnukset vaihdettaisiin tai laite alustettaisiin.
helpnetsecurity+1 - Kampanjan infrastruktuuri luotiin maaliskuussa, kaksi kuukautta ennen kuin Microsoft paljasti haavoittuvuuden, mikä viittaa Proofpointin mukaan mahdollisesti nollapäivähaavoittuvuuden käyttöön.
csoonline+1
Venäjään kytkeytyvä kybervakoiluryhmä, joka tunnetaan nimellä Laundry Bear, on hyödyntänyt Microsoft Exchange -sähköpostirajapinnan haavoittuvuutta vaarantaakseen virastoja ja yksityisen sektorin organisaatioita Yhdysvalloissa ja Euroopassa. Ryhmä on asentanut selaimeen perustuvan takaportin, joka säilyy aktiivisena, vaikka käyttäjätunnukset vaihdettaisiin tai laite alustettaisiin kokonaan.
"Puolikas klikkaus" -hyökkäys aktivoituu sähköpostin avaamisesta
Kampanja, joka alkoi 22. heinäkuuta, tuli julki 29. heinäkuuta tietoturvayhtiö Proofpointin raportin myötä. Ryhmä, jota seurataan myös nimillä TA488 ja Void Blizzard, hyödynsi CVE-2026-42897-haavoittuvuutta. Kyseessä on Outlook Web Accessin (OWA) sivustojen välinen komentosarja-aukko, joka mahdollistaa haitallisen JavaScript-koodin suorittamisen heti, kun uhri avaa sähköpostin. Linkkien klikkaamista tai liitetiedostojen avaamista ei tarvita.csoonline+2
Kohteina olivat Yhdysvaltain ja Euroopan viranomaiset sekä televiestintä-, rahoitus-, majoitus- ja ilmailualan organisaatiot. Sähköpostien aiheotsikot olivat tarkoituksella tylsiä ja matkivat rutiininomaisia tiedotteita, kuten toimitusketjuja tai markkinaindikaattoreita. Tavoitteena oli, että vastaanottajat avaisivat viestin, silmäilisivät sen ja poistaisivat sen roskapostina ilmoittamatta asiasta.helpnetsecurity+2
OWAReaper: Pysyvyys alustuksen jälkeenkin
Hyökkäys asentaa OWAReaper-haittaohjelman, joka on aiemmin dokumentoimaton JavaScript-implantti. Proofpointin mukaan se on kehittynein koskaan havaittu "puolikas klikkaus" -takaportti. Haittaohjelma toimii kokonaan OWA:n lukuruudussa ilman perinteisiä tiedostoja levyllä. Se kirjoittaa alkuperäisen sähköpostin palvelimella uudelleen peittääkseen jälkensä, kerää tunnuksia selaimen automaattisen täytön kautta ja tallentaa salatun kopion itsestään selaimen paikalliseen tallennustilaan (localStorage), jotta se suoritetaan uudelleen aina, kun uusi OWA-välilehti avataan.thehackernews+2
Sen kestävin tekniikka on palvelinpuolella: haittaohjelma hyödyntää Outlook-lisäosia, joilla on ReadWriteMailbox-oikeudet. Näin se varastaa OAuth-tunnisteita ja antaa omistajatason pääsyn Exchangen sisäänrakennetulle "Default"-käyttäjälle jokaiseen postikansioon. Tämä tarkoittaa, että kuka tahansa saman organisaation todennettu käyttäjä voi päästä uhrin postilaatikkoon pysyvästi. "Tunnusten vaihtaminen tai edes uhrin laitteen täydellinen alustaminen ei poista hyökkääjää", Proofpoint varoitti.infosecurity-magazine+1
Mahdollinen nollapäivähaavoittuvuus ja korjaustoimet
Microsoft paljasti CVE-2026-42897-haavoittuvuuden 14. toukokuuta 2026 ja julkaisi hätäpäivityksen ennen pysyvää korjausta kesäkuussa. Proofpoint kuitenkin havaitsi, että kampanjan infrastruktuuri oli luotu jo maaliskuussa 2026, mikä viittaa siihen, että ryhmä hyödynsi haavoittuvuutta nollapäivähaavoittuvuutena.techcommunity.microsoft+3
Organisaatioita kehotetaan asentamaan Microsoftin tietoturvapäivitykset. Jos vaarantuminen on mahdollista, suositellaan monivaiheista puhdistusta, johon kuuluu Exchange Web Services -tunnisteiden mitätöinti, Default-käyttäjän kansio-oikeuksien poistaminen sekä OWA:n offline-tietokannan ja paikallisen tallennustilan tyhjentäminen.infosecurity-magazine+1
Lähteet (16)
- 1 Russian hackers turn Exchange flaw into 'half-click' mailbox ... www.csoonline.com
- 2 RussianTA488 Returns With Persistent Outlook Web ... www.infosecurity-magazine.com
- 3 Laundry Bear's new Microsoft Exchange attack triggers on email open (CVE-2026-42897) - Help Net Security www.helpnetsecurity.com
- 4 Russian Hackers Exploit Microsoft OWA Flaw to Keep Mailbox Access After Credential Rotation thehackernews.com
- 5 TA488 Comes for Outlook with Another Half-Click Exploit www.proofpoint.com
- 6 Addressing Exchange Server May 2026 vulnerability CVE- ... techcommunity.microsoft.com
- 7 Microsoft Exchange Server flaw actively exploited, no patch ... fieldeffect.com
- 8 Alexis Dorais-Joncas' Post www.linkedin.com
- 9 Microsoft released a mitigation for Exchange Server www.reddit.com
- 10 Released: July 2026 Exchange Server Security Updates x.com
- 11 CVE-2026-42897 Detail - NVD nvd.nist.gov
- 12 TA488 Targets Zimbra Mailservers with Half-Click Exploits www.proofpoint.com
- 13 TA488 Uses Half-Click OWA Exploit to Deploy OWAReaper ... securityonline.info
- 14 Russian hackers exploit Exchange OWA zero-day for long- ... www.bleepingcomputer.com
- 15 CVE-2026-42897, the Exchange OWA XSS Zero-Day www.penligent.ai
- 16 CVE Record: CVE-2026-42897 www.cve.org
