Contexto e alvo dos ataques
Atores russos de ameaça recentemente ligados à exploração de uma vulnerabilidade já corrigida no Zimbra foram observados explorando outra falha, desta vez no Microsoft Outlook Web Access (OWA, acesso web ao Outlook), para atacar entidades governamentais dos Estados Unidos e da Europa, além dos setores de telecomunicações, financeiro, hotelaria e aeroespacial.
A atividade, que começou em 22 de julho de 2026, envolve o armamento do CVE-2026-42897 (pontuação CVSS [Common Vulnerability Scoring System, Sistema de Pontuação de Vulnerabilidades]: 8,1), uma vulnerabilidade de cross-site scripting (XSS, script entre sites) no OWA. A falha foi sinalizada pela Microsoft como explorada em ataques que remontam a maio de 2026.
A empresa de segurança corporativa Proofpoint atribuiu a atividade ao Laundry Bear (também conhecido como CL-STA-1114, TA488, UNK_PitStop e Void Blizzard), que foi recentemente responsabilizado pela exploração de zero-day do CVE-2025-66376, uma falha de XSS na interface clássica do Zimbra, desde pelo menos julho de 2025, antes de ser corrigida quatro meses depois.
Cadeia de infecção
Nesses ataques, os atores de ameaça enviavam mensagens a partir de contas do Proton Mail controladas por adversários e de endereços previamente comprometidos, que disparavam um exploit para o CVE-2025-66376 assim que os e-mails eram visualizados em uma versão vulnerável do Zimbra, resultando, em última instância, na implantação de um payload em JavaScript chamado ZimReaper, capaz de coletar 90 dias de correspondência da vítima e outros dados valiosos.
"A TA488 está intensificando o uso de exploits do tipo 'half-click' (meio-clique) — em que apenas abrir o e-mail é suficiente para disparar o comprometimento — com mecanismos de carregamento, técnicas e malware significativamente aprimorados, o que indica uma evolução no modus operandi e na capacidade do grupo", disseram os pesquisadores da Proofpoint Greg Lesnewich, Stuart Del Caliz, Nick Attfield, Konstantin Klinger, Saher Naumaan e Mark Kelly.
Como antes, a atividade depende de contas comprometidas para enviar e-mails que exploram a falha. O volume das mensagens de phishing e a amplitude do alvo constituem um afastamento das campanhas anteriores da TA488, sendo avaliados como um esforço deliberadamente amplo para se misturar ao spam em massa e passar despercebido.
Os próprios e-mails apresentam iscas genéricas, sem nenhuma ação exigida por parte do destinatário. Descobriu-se que as mensagens imitam comunicados informativos sobre temas como análises de cadeia de suprimentos, atualizações de pesquisa e métricas de mercados de turismo ou de gás.
O uso de e-mails tão genéricos é, mais uma vez, uma marca consistente nas cadeias de exploit de meio-clique do ator de ameaça, já que a ideia aqui é conferir uma ilusão de legitimidade e não despertar a suspeita da vítima, excluindo deliberadamente URLs ou anexos. Com isso, aumenta-se a probabilidade de que o destinatário abra e leia a mensagem, disparando efetivamente o exploit para o CVE-2026-42897.
"Isso permite que um carregador em JavaScript use o manipulador de evento onload= para analisar o restante do corpo da mensagem, montar um fragmento em Base64 e executá-lo como JavaScript codificado", explicou a Proofpoint. "O gatilho inicial do exploit e os blobs do payload relevante ficam armazenados nos ícones de redes sociais exibidos no HTML do corpo da mensagem. Os dados do payload da próxima etapa são armazenados após símbolos #, que o navegador ignora ao analisar imagens a partir de Base64."
O malware OWAReaper
A nova onda de exploração em torno do CVE-2026-42897 culmina na implantação de um implante baseado em navegador, escrito em JavaScript, até então desconhecido e chamado OWAReaper, criado especificamente para acesso persistente no cliente de webmail da Microsoft.
Descrito como o backdoor mais sofisticado já entregue por meio de exploits de meio-clique, o malware é uma evolução do ZimReaper, embora compartilhe boa parte do código-fonte e sobreposições comportamentais. Ele é executado no painel de leitura do OWA. Uma vez executado, usa APIs (Application Programming Interfaces, Interfaces de Programação de Aplicações) do Outlook para reescrever o e-mail no servidor Exchange e remover o conteúdo do exploit.
Em paralelo, o malware toma providências para desativar os pop-ups do OWA e a capacidade de clicar com o botão direito durante sua execução. Ele também cria uma chave de sessão exclusiva para o alvo, antes de prosseguir coletando o endereço de e-mail, o nome de usuário e as configurações do Outlook da vítima. Em seguida, cria dois elementos de input invisíveis no Document Object Model (DOM, Modelo de Objeto de Documento) da página web, com o objetivo de capturar as credenciais salvas no OWA por meio do recurso de preenchimento automático do navegador.
Persistência no servidor
A etapa seguinte consiste em gravar uma versão criptografada de si mesmo e um wrapper de descriptografia no localStorage do navegador. Isso, por sua vez, faz com que o malware seja executado automaticamente toda vez que um usuário desatento abre uma aba do OWA no navegador.
O OWAReaper verifica se há suplementos do Outlook instalados com permissões ReadWriteMailbox (leitura e escrita na caixa de correio) e, se encontrados, os utiliza para roubar tokens OAuth (protocolo aberto de autorização), concedendo a si mesmo permissões de nível Owner (proprietário) ao usuário Default em todas as pastas de correio. Esse processo concede acesso completo à caixa de correio a qualquer usuário autenticado na mesma organização.
"Este é um aspecto-chave da cadeia de infecção: se a TA488 tiver acesso a outras contas na organização, o grupo mantém acesso persistente à caixa de correio do alvo", destacaram os pesquisadores. "Esse acesso persistente vive no lado do servidor e exige remoção deliberada do servidor Exchange; a rotação de credenciais e até mesmo a reimagem completa do dispositivo do usuário alvo não expulsam o ator."
Além disso, o malware cria um segundo método de persistência ao adicionar um elemento iframe oculto a mensagens armazenadas no cache offline de mensagens do IndexedDB do OWA e ao ativar o cache. O iframe é executado toda vez que a vítima abre um e-mail malicioso a partir do cache, reinfectando o alvo mesmo após a reimagem do host.
Comando e controle
O OWAReaper também se destaca por empregar dois métodos de command-and-control (C&C ou C2, comando e controle): o uso do GitHub ou de e-mails enviados pelos atacantes para interpretar comandos e executá-los no host. O script consulta a Commit Search API (interface de programação de aplicações de busca de commits) do GitHub a cada 24 horas em busca de mensagens de commit que contenham o endereço de e-mail do alvo.
Se encontra uma, os dados são interpretados e descriptografados usando uma chave embutida no código JavaScript e uma chave AES (Advanced Encryption Standard, Padrão Avançado de Criptografia) por sessão, aparentemente na tentativa de impedir que outras partes extraiam os comandos. Os dados decodificados contêm um cabeçalho de quatro caracteres que indica um tipo de comando específico:
- code, para substituir todo o código do kit de ferramentas do OWAReaper;
- domn, para rotacionar os servidores de C&C;
- cmnd, para executar código JavaScript arbitrário via eval().
Alternativamente, o OWAReaper pode interpretar e-mails recebidos enviados pelos operadores da TA488 para processar e executar os mesmos tipos de comandos observados no método do GitHub. Ele verifica no IndexedDB os corpos de mensagens com a estrutura {endereço_de_e-mail_do_alvo}{espaço}{texto em Base64}.
Exfiltração de dados
A exfiltração de dados é realizada principalmente por HTTPS (Hypertext Transfer Protocol Secure, protocolo seguro de transferência de hipertexto) com caminhos URI (Uniform Resource Identifier, Identificador Uniforme de Recursos) criptografados em AES-CTR (Advanced Encryption Standard em modo contador). Caso essa abordagem falhe, o malware recorre a tunelamento de rótulos DNS (Domain Name System, Sistema de Nomes de Domínio) para contrabandear dados em consultas DNS padrão de um domínio controlado pelo ator.
A Proofpoint observou que a infraestrutura mais antiga usada nessa campanha foi criada em março de 2026, dois meses antes de a Microsoft divulgar o CVE-2026-42897, o que levanta a possibilidade de que a falha possa ter sido explorada como zero-day. A empresa também afirmou não ter detectado nenhuma atividade da TA488 entre fevereiro e 22 de julho de 2026.
"O OWAReaper roda dentro do contexto do navegador do OWA, operando como um implante furtivo, sem pegada no host, usando dois canais de comunicação de C&C e dois protocolos de exfiltração de dados", disse a Proofpoint. "Ele é capaz de sobreviver a reinicializações do navegador, à rotação de credenciais e à reimagem completa do dispositivo da vítima."
"Com base na atividade recém-observada, a TA488 parece demonstrar interesse em uma ampla gama de setores, mantendo prioridades de coleta de inteligência contra governo e defesa. Os temas das iscas permanecem genéricos e discretos, de modo que o alvo fica mais propenso a abrir e passar os olhos pelo e-mail, mas, em última instância, a ignorá-lo."
