Descubierta una campaña de ciberespionaje que utiliza vulnerabilidades zero-day en Outlook Web Access
El panorama de la ciberseguridad se enfrenta a una nueva y sofisticada amenaza. El grupo de hacking respaldado por el estado ruso, conocido como Laundry Bear (o Void Blizzard), ha sido detectado explotando una vulnerabilidad de día cero (zero-day) en Microsoft Exchange Outlook Web Access (OWA). El objetivo: desplegar un backdoor altamente avanzado denominado OWAReaper.
¿Qué es el exploit de «medio clic»?
A diferencia de los ataques de phishing tradicionales que requieren que el usuario haga clic en un enlace malicioso o descargue un archivo adjunto, esta campaña utiliza lo que los investigadores de Proofpoint llaman un exploit de «medio clic».
Aprovechando la vulnerabilidad CVE-2026-42897, un fallo de Cross-Site Scripting (XSS) debido a una insuficiente desinfección del código HTML, los atacantes logran ejecutar JavaScript malicioso en el navegador de la víctima con el simple hecho de que esta abra el correo electrónico en la aplicación OWA. No es necesaria ninguna otra interacción.
OWAReaper: Un backdoor diseñado para la persistencia
Una vez que el código se ejecuta, se despliega OWAReaper, un malware que destaca por su capacidad de ocultación y evolución técnica. Entre sus funciones principales se encuentran:
- Robo de credenciales: Crea elementos invisibles en el portal de acceso para capturar datos cuando el navegador los autorrellena.
- Manipulación de la interfaz: Desactiva ventanas emergentes y funciones de clic derecho en OWA para evitar que el usuario note comportamientos extraños.
- Exfiltración de datos: Utiliza canales poco convencionales, como mensajes de commit en GitHub, para recibir instrucciones y enviar información robada.
El desafío de la persistencia a largo plazo
Lo más preocupante para el sector empresarial es la capacidad de OWAReaper para mantener el acceso al buzón de correo incluso si la organización toma medidas correctivas estándar. Los atacantes logran esto mediante:
- Tokens OAuth: Robo de tokens de acceso a través de complementos de Outlook con permisos de lectura y escritura.
- Permisos a nivel de servidor: El malware modifica los permisos de las carpetas de correo a nivel de propietario. Esto significa que cambiar la contraseña del usuario o restaurar el sistema desde una imagen limpia no revoca el acceso de los atacantes, ya que la configuración reside en el lado del servidor de Exchange.
Sectores afectados y recomendaciones
La campaña ha dirigido sus ataques contra entidades gubernamentales en EE. UU. y Europa, así como empresas de los sectores de telecomunicaciones, finanzas, hostelería y aeroespacial. Los señuelos utilizados suelen ser correos con temas banales pero relevantes para el sector, como análisis de la cadena de suministro o indicadores de mercado, diseñados para que el usuario los abra sin sospechar.
Desde Intedya, recordamos a las organizaciones la importancia crítica de mantener sus sistemas de correo actualizados con los últimos parches de seguridad de Microsoft y monitorizar activamente cualquier cambio inusual en los permisos de los buzones de los empleados clave.
Fuentes
- Bleeping Computer — Russian hackers exploit Exchange OWA zero-day for long-term mailbox access
https://www.bleepingcomputer.com/news/security/russian-hackers-exploit-exchange-owa-zero-day-for-long-term-mailbox-access/