OWAReaper: Russische Hacker nutzen Microsoft-Lücke seit Juli
Veröffentlicht am: 30.07.2026 um 05:32 Uhr | Redaktion boerse-global.de
Ein russischer Staatshacker nutzt eine Sicherheitslücke in Microsofts Outlook Web Access (OWA) für eine hochprofessionelle Spionagekampagne. Die Angreifer zielen auf Regierungen, Telekommunikationsfirmen und Finanzinstitute in den USA und Europa.
OWAReaper: Die unsichtbare Hintertür
Seit dem 22. Juli 2026 ist die Gruppe TA488, auch bekannt als Laundry Bear, aktiv. Das berichtet die Cybersicherheitsfirma Proofpoint. Die Hacker nutzen die Schwachstelle CVE-2026-42897 aus – ein sogenannter Cross-Site-Scripting-Angriff (XSS) im OWA-Interface.
Der Clou: Es reicht, wenn ein Opfer eine präparierte E-Mail im Lesefenster öffnet. Schon aktiviert sich der „Half-Click"-Exploit und installiert die Schadsoftware OWAReaper. Diese läuft komplett im Browser und stiehlt Passwörter über die Autofill-Funktion. Besonders perfide: OWAReaper ändert die Berechtigungen auf dem Server und gewährt dem Nutzer „Default" Besitzerrechte für alle Postfach-Ordner. Selbst wenn der ursprüngliche Angriff beseitigt wird, bleibt der Zugriff bestehen.
Microsoft hatte den Fehler zwar bereits am 14. Mai 2026 mit einem Patch geschlossen. Doch viele Systeme sind bis heute nicht aktualisiert – und genau das nutzen die Angreifer aus.
Immer mehr Unternehmen werden Opfer von Cyberangriffen – diese Checkliste hilft Ihnen, es zu verhindern. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. Experten-E-Book zur Cyber Security jetzt kostenlos herunterladen
Persistenz trotz Passwortwechsel
Die Resilienz von OWAReaper ist bemerkenswert. Die Malware nutzt browserbasierte Speichermechanismen wie localStorage und IndexedDB. Weil sie Berechtigungen auf Serverebene ändert, übersteht der unbefugte Zugriff selbst Passwortwechsel oder die Neuinstallation von Geräten.
Die Kommunikation mit den Steuerungsservern läuft extrem verdeckt: Täglich sucht OWAReaper über GitHub-Commits nach neuen Befehlen. Alle fünf Minuten scannt die Software eingehende E-Mails. Daten werden per HTTPS abfließen, oft durch Content-Delivery-Netzwerke (CDNs) getarnt – oder über DNS-Tunneling.
Vom Zimbra-Angriff zum Exchange-Exploit
Laundry Bear war zwischen Februar und Mitte Juli 2026 inaktiv. Der aktuelle Angriff startete nur einen Tag vor einer gemeinsamen Warnung von NSA, FBI, CISA und internationalen Partnern am 23. Juli. Diese Warnung bezog sich auf eine frühere Kampagne: Zwischen Juli und November 2025 hatte die Gruppe die Schwachstelle CVE-2025-66376 in der Zimbra-Kollaborationssoftware ausgenutzt.
Damals griffen die Hacker NATO-Regierungen, Verteidigungsorganisationen und Nuklearanlagen an. Die Malware ZimReaper stahl 90 Tage E-Mail-Verlauf, Zwei-Faktor-Authentifizierungscodes und legte dauerhafte Anwendungspasswörter an. Zimbra schloss die Lücke im November 2025 – doch die Sicherheitsbehörden warnten: Die Updates entzogen den Angreifern nicht automatisch den bereits erlangten Zugriff.
Rekord-Schäden durch Phishing: Warum immer mehr Unternehmen jetzt auf Awareness-Kampagnen setzen. Experten erklären im kostenlosen Anti-Phishing-Paket, wie Ihr Unternehmen sich wirksam schützen kann. Anti-Phishing-Paket für Unternehmen gratis anfordern
Branchenexperten sehen OWAReaper als direkte Weiterentwicklung von ZimReaper. Die russische Gruppe hat strategisch auf Microsofts dominierendes Enterprise-E-Mail-System umgeschwenkt – ein Wechsel mit potenziell weitreichenden Folgen für Unternehmen und Behörden.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
