Des pirates russes déploient une porte dérobée sur Exchange qui survit aux réinitialisations de mot de passe

Un groupe de cyberespionnage aligné sur la Russie, connu sous le nom de Laundry Bear, exploite une vulnérabilité dans l'interface webmail de Microsoft ↗ 15.51% Exchange pour compromettre des agences gouvernementales et des organisations privées aux États-Unis et en Europe, en déployant une porte dérobée basée sur le navigateur qui survit aux changements d'identifiants et à la réinstallation complète des appareils.

Une attaque "demi-clic" qui s'active à l'ouverture de l'e-mail

La campagne, qui a débuté le 22 juillet, a été révélée le 29 juillet par la société de sécurité d'entreprise Proofpoint. Le groupe, également suivi sous les noms de TA488 et Void Blizzard, a utilisé la CVE-2026-42897, une faille de cross-site scripting dans Outlook Web Access qui permet l'exécution de JavaScript malveillant dès qu'une victime ouvre un e-mail piégé, sans aucun clic sur un lien ou pièce jointe nécessaire.csoonline+2

Les cibles comprenaient des entités gouvernementales américaines et européennes ainsi que des organisations des secteurs des télécommunications, de la finance, de l'hôtellerie et de l'aérospatiale. Les e-mails utilisaient des objets délibérément banals imitant des mises à jour informatives de routine sur des sujets tels que les chaînes d'approvisionnement et les indicateurs de marché, conçus pour que les destinataires les ouvrent, les survolent et les ignorent comme des courriers indésirables sans les signaler.helpnetsecurity+2

OWAReaper : une persistance au-delà de la réinstallation

L'exploit déploie OWAReaper, un implant JavaScript non documenté que Proofpoint qualifie de porte dérobée "demi-clic" la plus sophistiquée jamais observée. S'exécutant entièrement dans le volet de lecture d'OWA sans fichier conventionnel sur le disque, OWAReaper réécrit l'e-mail original sur le serveur pour effacer les preuves de compromission, récolte les identifiants via l'autocomplétion du navigateur et stocke une copie chiffrée de lui-même dans le stockage local du navigateur afin de se réexécuter à chaque ouverture d'un nouvel onglet OWA.thehackernews+2

Sa technique la plus durable est côté serveur : le logiciel malveillant exploite les compléments Outlook avec des autorisations ReadWriteMailbox pour voler des jetons OAuth et accorder un accès de niveau Propriétaire à l'utilisateur "Default" intégré d'Exchange sur chaque dossier de messagerie. Cela signifie que tout compte authentifié au sein de la même organisation peut accéder indéfiniment à la boîte mail de la victime. "La rotation des identifiants et même la réinstallation complète de l'appareil de l'utilisateur ciblé ne permettront pas d'évincer l'acteur", a averti Proofpoint.infosecurity-magazine+1

Utilisation possible de zero-day et remédiation

Microsoft a divulgué la CVE-2026-42897 pour la première fois le 14 mai 2026, émettant une mesure d'atténuation d'urgence avant de publier un correctif permanent en juin. Cependant, Proofpoint a découvert que l'infrastructure de la campagne avait été créée en mars 2026, ce qui rend plausible l'exploitation de la faille en tant que zero-day.techcommunity.microsoft+3

Il est vivement conseillé aux organisations d'installer les mises à jour de sécurité de Microsoft et, en cas de compromission potentielle, d'entreprendre un nettoyage en plusieurs étapes, notamment la révocation des jetons Exchange Web Services, la suppression des autorisations de dossier de l'utilisateur Default, et l'effacement de la base de données hors ligne et du stockage local d'OWA.infosecurity-magazine+1