Newsletter Subscribe
Enter your email address below and subscribe to our newsletter
[forminator_form id="25163"]
All voices matter
Ռուս հաքերները Exchange-ում ներդնում են «ետնադուռ», որը չի վերանում նույնիսկ գաղտնաբառը փոխելիս
- Proofpoint-ը հայտնել է, որ Ռուսաստանի հետ կապված TA488 խմբավորումը օգտագործել է Microsoft Exchange-ի վեբ-փոստի XSS խոցելիությունը՝ ԱՄՆ-ի և Եվրոպայի պետական գերատեսչությունների վրա հարձակվելու համար:
csoonline+1 - OWAReaper ծրագիրը գործարկվում է պարզապես նամակը բացելիս և ապահովում է սերվերային մուտք դեպի փոստարկղ, որը պահպանվում է նույնիսկ գաղտնաբառերի փոփոխությունից և սարքի վերատեղադրումից հետո:
helpnetsecurity+1 - Ըստ Proofpoint-ի՝ հարձակման ենթակառուցվածքը ստեղծվել է մարտին, ինչը հուշում է, որ հաքերները հնարավոր է օգտագործել են «զրոյական օրվա» (zero-day) խոցելիություն:
csoonline+1
Ռուսաստանի հետ կապված կիբերլրտեսական խմբավորումը, որը հայտնի է որպես Laundry Bear, օգտագործել է Microsoft Exchange-ի վեբ-ինտերֆեյսի խոցելիությունը՝ ԱՄՆ-ի և Եվրոպայի պետական և մասնավոր կազմակերպությունների վրա հարձակվելու համար։ Նրանք ներդրել են բրաուզերային «ետնադուռ», որը դիմացկուն է գաղտնաբառերի փոփոխության և սարքի ամբողջական վերատեղադրման նկատմամբ։
«Կես սեղմումով» հարձակում, որը գործարկվում է նամակը բացելիս
Արշավը, որը սկսվել է հուլիսի 22-ին, բացահայտվել է հուլիսի 29-ին անվտանգության Proofpoint ընկերության կողմից։ Խմբավորումը, որը հայտնի է նաև TA488 և Void Blizzard անուններով, օգտագործել է CVE-2026-42897 խոցելիությունը՝ Outlook Web Access-ի XSS թերությունը։ Այն թույլ է տալիս վնասակար JavaScript-ին գործարկվել հենց այն պահին, երբ զոհը բացում է հատուկ պատրաստված նամակը՝ առանց որևէ հղման սեղմման կամ ֆայլի ներբեռնման:csoonline+2
Թիրախների թվում են եղել ԱՄՆ-ի և Եվրոպայի պետական մարմինները, ինչպես նաև հեռահաղորդակցության, ֆինանսական, հյուրանոցային և օդատիեզերական ոլորտի կազմակերպությունները։ Նամակներում օգտագործվել են անմեղ թվացող վերնագրեր, ինչպիսիք են մատակարարման շղթաները կամ շուկայական ցուցանիշները, որպեսզի ստացողը պարզապես բացի և ջնջի դրանք:helpnetsecurity+2
OWAReaper. Կայունություն վերատեղադրումից հետո
Էքսպլոիտը ներդնում է OWAReaper՝ մինչ այժմ անհայտ JavaScript իմպլանտ, որը Proofpoint-ը անվանում է ամենաբարդ «կես սեղմումով» ետնադուռը։ Այն աշխատում է ամբողջությամբ OWA-ի ընթերցման վահանակում՝ առանց սկավառակի վրա ֆայլի։ OWAReaper-ը ջնջում է վարակման հետքերը, գողանում է տվյալները բրաուզերի ավտոլրացման միջոցով և պահում է իր գաղտնագրված պատճենը բրաուզերի localStorage-ում, որպեսզի վերագործարկվի ամեն անգամ նոր OWA ներդիր բացելիս:thehackernews+2
Դրա ամենավտանգավոր տեխնիկան սերվերային է. վնասակար ծրագիրը օգտագործում է Outlook-ի հավելումները ReadWriteMailbox թույլտվությամբ՝ OAuth տոկենները գողանալու և Exchange-ի ներկառուցված Default օգտատիրոջը բոլոր թղթապանակներում սեփականատիրոջ մակարդակի մուտք տրամադրելու համար։ Սա նշանակում է, որ կազմակերպության ցանկացած վավերացված հաշիվ կարող է անսահմանափակ մուտք ունենալ զոհի փոստարկղին։ Proofpoint-ը զգուշացնում է, որ գաղտնաբառերի փոփոխությունը և սարքի ամբողջական վերատեղադրումը չեն հեռացնի հաքերներին:infosecurity-magazine+1
«Զրոյական օրվա» խոցելիության հնարավոր օգտագործումը և շտկումը
Microsoft-ը CVE-2026-42897-ը առաջին անգամ հայտնաբերել է 2026 թվականի մայիսի 14-ին և հրապարակել արտակարգ հրահանգներ՝ նախքան հունիսին մշտական թարմացում թողարկելը։ Այնուամենայնիվ, Proofpoint-ը պարզել է, որ արշավի ենթակառուցվածքը ստեղծվել է 2026 թվականի մարտին, ինչը հուշում է, որ խմբավորումը հնարավոր է օգտագործել է խոցելիությունը որպես «զրոյական օրվա» սպառնալիք:techcommunity.microsoft+3
Կազմակերպություններին հորդորում են տեղադրել Microsoft-ի անվտանգության թարմացումները և վարակման դեպքում իրականացնել բազմափուլ մաքրում, ներառյալ Exchange Web Services տոկենների չեղարկումը, Default օգտատիրոջ թույլտվությունների ջնջումը և OWA-ի օֆլայն տվյալների բազայի ու localStorage-ի մաքրումը:infosecurity-magazine+1
Աղբյուրներ (16)
- 1 Russian hackers turn Exchange flaw into 'half-click' mailbox ... www.csoonline.com
- 2 RussianTA488 Returns With Persistent Outlook Web ... www.infosecurity-magazine.com
- 3 Laundry Bear's new Microsoft Exchange attack triggers on email open (CVE-2026-42897) - Help Net Security www.helpnetsecurity.com
- 4 Russian Hackers Exploit Microsoft OWA Flaw to Keep Mailbox Access After Credential Rotation thehackernews.com
- 5 TA488 Comes for Outlook with Another Half-Click Exploit www.proofpoint.com
- 6 Addressing Exchange Server May 2026 vulnerability CVE- ... techcommunity.microsoft.com
- 7 Microsoft Exchange Server flaw actively exploited, no patch ... fieldeffect.com
- 8 Alexis Dorais-Joncas' Post www.linkedin.com
- 9 Microsoft released a mitigation for Exchange Server www.reddit.com
- 10 Released: July 2026 Exchange Server Security Updates x.com
- 11 CVE-2026-42897 Detail - NVD nvd.nist.gov
- 12 TA488 Targets Zimbra Mailservers with Half-Click Exploits www.proofpoint.com
- 13 TA488 Uses Half-Click OWA Exploit to Deploy OWAReaper ... securityonline.info
- 14 Russian hackers exploit Exchange OWA zero-day for long- ... www.bleepingcomputer.com
- 15 CVE-2026-42897, the Exchange OWA XSS Zero-Day www.penligent.ai
- 16 CVE Record: CVE-2026-42897 www.cve.org
