Falha explorada por grupo russo permite abrir caminho para acesso duradouro a caixas de email.
O grupo russo Laundry Bear, também rastreado como Void Blizzard, está explorando uma falha zero day no Microsoft Exchange Outlook Web Access. Os emails são preparados para acionar a vulnerabilidade no momento em que a mensagem é aberta. O objetivo final é instalar o backdoor OWAReaper e manter acesso prolongado às caixas de email.
Segundo a BleepingComputer, a Proofpoint identificou uma campanha atribuída ao grupo estatal russo Laundry Bear, também conhecido como Void Blizzard. A atividade mira organizações de perfis bem distintos: entidades governamentais nos Estados Unidos e na Europa, empresas de telecomunicações, instituições financeiras, redes de hotelaria e companhias do setor aeroespacial.
No centro da operação está a exploração da CVE-2026-42897, uma falha no Microsoft Exchange Outlook Web Access, o OWA. A campanha entrega um backdoor chamado OWAReaper, criado para sustentar acesso de longo prazo às caixas de email. Dito de forma direta: o invasor quer transformar o webmail em uma porta de entrada permanente.
A vulnerabilidade é descrita como uma falha de cross-site scripting, ou XSS, provocada por tratamento inadequado de HTML. Traduzindo: o sistema não filtra corretamente determinados conteúdos embutidos na mensagem. Basta então um email montado sob medida para que comandos sejam executados no navegador da vítima assim que ela abre a mensagem no OWA.
A Proofpoint apelidou esse tipo de exploração de "half-click exploit". Não há anexo para baixar nem link para clicar — a abertura da mensagem já resolve o trabalho do atacante. O modo de operar lembra uma campanha anterior do mesmo grupo contra servidores Zimbra, em que outra falha XSS serviu para entregar o malware ZimReaper e roubar comunicações, códigos de autenticação em dois fatores, senhas de aplicativo e senhas de usuários.
Como o comprometimento nasce dentro do webmail, a investigação precisa começar pelos comportamentos que fogem do padrão, com atenção redobrada às contas mais sensíveis. Vale registrar cada ocorrência, porque isolada ela parece inofensiva. Os pontos abaixo merecem verificação:
Email deixou de ser apenas canal de comunicação. Em campanhas como essa, ele é o próprio vetor de invasão. O primeiro passo é levantar quem usa o Microsoft Exchange OWA, quais contas carregam privilégios elevados e quais mensagens suspeitas foram abertas nos últimos dias.
Depois vem o reforço de monitoramento: revisar sessões ativas, auditar logs de acesso, caçar regras de email criadas sem autorização e orientar usuários a reportar mensagens estranhas mesmo quando não clicaram em nada. Em ambientes críticos, a triagem deve começar por contas executivas, equipes financeiras, administradores de TI e áreas que lidam com informações reguladas.
É o backdoor usado nessa campanha. Depois da exploração da falha no Microsoft Exchange OWA, ele garante aos atacantes acesso prolongado às caixas de email comprometidas.
Pela descrição da Proofpoint, não necessariamente. A exploração pode ocorrer no instante em que a vítima abre um email especialmente preparado no Outlook Web Access.
A atividade observada mira organizações nos Estados Unidos e na Europa, incluindo governo, telecomunicações, setor financeiro, hotelaria e aeroespacial.
A LC SEC ajuda sua organização a identificar exposição em ambientes de email, investigar sinais de comprometimento e fortalecer controles contra campanhas direcionadas como a exploração do Microsoft Exchange OWA.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io