Microsoft Exchange OWA sob ataque, entenda o risco
Falha explorada por grupo russo permite abrir caminho para acesso duradouro a caixas de email.
Resumo rapido
O grupo russo Laundry Bear, também rastreado como Void Blizzard, está explorando uma falha zero day no Microsoft Exchange Outlook Web Access. Os emails são preparados para acionar a vulnerabilidade no momento em que a mensagem é aberta. O objetivo final é instalar o backdoor OWAReaper e manter acesso prolongado às caixas de email.
Neste artigo voce vai aprender:
- Qual falha no Microsoft Exchange OWA está sendo explorada.
- Por que abrir um email pode ser suficiente para iniciar o ataque.
- Quais setores e regiões aparecem como alvos na campanha.
- Quais sinais internos merecem investigação imediata.
- Quais ações práticas ajudam a reduzir exposição.
O que aconteceu
Segundo a BleepingComputer, a Proofpoint identificou uma campanha atribuída ao grupo estatal russo Laundry Bear, também conhecido como Void Blizzard. A atividade mira organizações de perfis bem distintos: entidades governamentais nos Estados Unidos e na Europa, empresas de telecomunicações, instituições financeiras, redes de hotelaria e companhias do setor aeroespacial.
No centro da operação está a exploração da CVE-2026-42897, uma falha no Microsoft Exchange Outlook Web Access, o OWA. A campanha entrega um backdoor chamado OWAReaper, criado para sustentar acesso de longo prazo às caixas de email. Dito de forma direta: o invasor quer transformar o webmail em uma porta de entrada permanente.
Como o ataque funciona
A vulnerabilidade é descrita como uma falha de cross-site scripting, ou XSS, provocada por tratamento inadequado de HTML. Traduzindo: o sistema não filtra corretamente determinados conteúdos embutidos na mensagem. Basta então um email montado sob medida para que comandos sejam executados no navegador da vítima assim que ela abre a mensagem no OWA.
A Proofpoint apelidou esse tipo de exploração de "half-click exploit". Não há anexo para baixar nem link para clicar — a abertura da mensagem já resolve o trabalho do atacante. O modo de operar lembra uma campanha anterior do mesmo grupo contra servidores Zimbra, em que outra falha XSS serviu para entregar o malware ZimReaper e roubar comunicações, códigos de autenticação em dois fatores, senhas de aplicativo e senhas de usuários.
Sinais de alerta
Como o comprometimento nasce dentro do webmail, a investigação precisa começar pelos comportamentos que fogem do padrão, com atenção redobrada às contas mais sensíveis. Vale registrar cada ocorrência, porque isolada ela parece inofensiva. Os pontos abaixo merecem verificação:
- Abertura de mensagens suspeitas no Microsoft Exchange OWA, mesmo sem clique em link.
- Acessos à caixa de email em horários, locais ou padrões incomuns.
- Regras de encaminhamento, filtros ou mudanças de configuração não reconhecidas.
- Relatos de códigos de autenticação em dois fatores recebidos sem solicitação.
- Atividade anormal em contas de áreas governamentais, financeiras, telecom, hotelaria ou aeroespacial.
Como reduzir o risco
Email deixou de ser apenas canal de comunicação. Em campanhas como essa, ele é o próprio vetor de invasão. O primeiro passo é levantar quem usa o Microsoft Exchange OWA, quais contas carregam privilégios elevados e quais mensagens suspeitas foram abertas nos últimos dias.
Depois vem o reforço de monitoramento: revisar sessões ativas, auditar logs de acesso, caçar regras de email criadas sem autorização e orientar usuários a reportar mensagens estranhas mesmo quando não clicaram em nada. Em ambientes críticos, a triagem deve começar por contas executivas, equipes financeiras, administradores de TI e áreas que lidam com informações reguladas.
Checklist pratico
- Mapeie quais usuários acessam o Microsoft Exchange OWA e priorize contas críticas.
- Revise logs, sessões e mudanças recentes em regras de caixa de email.
- Oriente equipes a reportarem emails suspeitos abertos no OWA, mesmo sem clique.
- Investigue qualquer código de autenticação recebido sem solicitação do usuário.
- Acione resposta a incidentes se houver acesso persistente ou comportamento anormal.
Perguntas frequentes
O que é o OWAReaper?
É o backdoor usado nessa campanha. Depois da exploração da falha no Microsoft Exchange OWA, ele garante aos atacantes acesso prolongado às caixas de email comprometidas.
O usuário precisa clicar em um link?
Pela descrição da Proofpoint, não necessariamente. A exploração pode ocorrer no instante em que a vítima abre um email especialmente preparado no Outlook Web Access.
Quem está sendo alvo?
A atividade observada mira organizações nos Estados Unidos e na Europa, incluindo governo, telecomunicações, setor financeiro, hotelaria e aeroespacial.
Proteja sua empresa com a LC SEC
A LC SEC ajuda sua organização a identificar exposição em ambientes de email, investigar sinais de comprometimento e fortalecer controles contra campanhas direcionadas como a exploração do Microsoft Exchange OWA.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io
Compartilhe nas redes sociais:
