OWAReaper: Russische Hacker missbrauchen Outlook-Lücke CVE-2026-42897
Veröffentlicht am: 30.07.2026 um 16:53 Uhr | Redaktion boerse-global.de
Sicherheitsforscher haben eine neue Cyberspionage-Kampagne der Akteursgruppe TA488 identifiziert, die auch unter den Bezeichnungen Void Blizzard oder Laundry Bear bekannt ist. Die Angreifer nutzen eine Sicherheitslücke in Outlook Web Access (OWA), katalogisiert als CVE-2026-42897, um ein hochspezialisiertes JavaScript-Implantat namens OWAReaper zu verbreiten. Die Kampagne zielt primär auf Regierungsbehörden in den USA und Europa sowie auf strategisch wichtige Sektoren wie Telekommunikation, Finanzen, das Gastgewerbe sowie die Luft- und Raumfahrt ab.
Infektion über Half-Click-Exploits
Die Infektion der Zielsysteme erfolgt laut Erkenntnissen von Proofpoint über einen sogenannten Half-Click-Exploit. Dabei ist keine aktive Interaktion des Nutzers mit Anhängen oder Verlinkungen erforderlich; es genügt bereits das bloße Öffnen der präparierten E-Mail innerhalb der OWA-Oberfläche. Nach der erfolgreichen Ausführung agiert das System äußerst diskret. Berichten zufolge entfernt OWAReaper den ursprünglichen Exploit-Code aus der Nachricht direkt auf dem Exchange-Server, um forensische Untersuchungen zu erschweren.
Angriffe wie OWAReaper zeigen, wie raffiniert Cyberkriminelle heute Sicherheitslücken in Unternehmen ausnutzen. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern und Sicherheitslücken schließen, bevor es zu spät ist. Experten-Checkliste für IT-Sicherheit jetzt kostenlos herunterladen
Das Implantat operiert ausschließlich im Browser-Kontext von Outlook Web Access und hinterlässt keinen Fußabdruck auf dem lokalen Host-Betriebssystem. Ein markantes Merkmal dieser Kampagne ist die extreme Persistenz der Schadsoftware. OWAReaper übersteht nicht nur Browser-Neustarts und den Wechsel von Anmeldedaten, sondern bleibt selbst nach einer vollständigen Neuabbildung (Re-Imaging) des betroffenen Endgeräts aktiv. Dies wird durch weitreichende serverseitige Manipulationen ermöglicht.
Manipulation von Berechtigungen und Datendiebstahl
Die Schadsoftware zielt darauf ab, umfassende Kontrolle über die Kommunikation der Opfer zu erlangen. OWAReaper sammelt sensible Informationen wie E-Mail-Adressen, Benutzernamen und spezifische Outlook-Konfigurationen. Durch den Missbrauch der Autofill-Funktion des Browsers werden zudem gespeicherte OWA-Zugangsdaten entwendet. Darüber hinaus nutzt das Implantat Outlook-Add-Ins mit ReadWriteMailbox-Berechtigungen aus, um OAuth-Token zu generieren.
Der Diebstahl von Zugangsdaten und die Manipulation von Postfächern sind zentrale Ziele moderner Cyberspionage. Dieser kostenlose Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Kostenlosen Cyber-Security-Report für Unternehmer anfordern
Besonders kritisch bewerten Experten die Veränderung von Postfachberechtigungen: OWAReaper weist dem Standard-Benutzer („Default“) Besitzerrechte für sämtliche Mailordner zu. In der Folge kann jeder authentifizierte Benutzer innerhalb der betroffenen Organisation auf das kompromittierte Postfach zugreifen. Da diese Berechtigungen direkt auf dem Server verankert sind, überdauern sie sowohl Passwortwechsel als auch technische Maßnahmen am Endgerät.
Infrastruktur und Entdeckung
Zur Steuerung der infizierten Konten nutzt TA488 zwei verschiedene Mechanismen für Command-and-Control (C2): Zum einen werden GitHub-Commit-Nachrichten verwendet, zum anderen dienen eingehende E-Mails als Befehlskanal. Für den Abfluss der gestohlenen Daten kommen HTTPS-Verbindungen über Content Delivery Networks (CDN) sowie DNS-Tunneling zum Einsatz.
Die früheste Infrastruktur, die dieser Kampagne zugeordnet werden kann, wurde bereits im März 2026 registriert. Dies deutet darauf hin, dass die Schwachstelle möglicherweise bereits zwei Monate vor der Veröffentlichung eines entsprechenden Sicherheitsupdates durch Microsoft als Zero-Day-Lücke ausgenutzt wurde. Während zwischen Februar und dem 22. Juli 2026 keine Aktivitäten beobachtet wurden, identifizierte Proofpoint die aktuelle Welle etwa eine Woche vor Ende Juli. Nach aktuellem Kenntnisstand ist der Cloud-Dienst Exchange Online nicht von dieser Kampagne betroffen; die Angriffe konzentrieren sich auf lokale Installationen.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
