Il 22 luglio 2026, tre giorni prima della pubblicazione del rapporto Proofpoint, il gruppo APT Russia-allineato Laundry Bear ha lanciato una nuova campagna contro server Exchange on-premises sfruttando CVE-2026-42897, una vulnerabilità XSS in Microsoft Outlook Web Access. L'operazione è iniziata con un tempismo chirurgico: a meno di ventiquattro ore dal rilascio di un advisory congiunto NSA-Proofpoint sulla precedente campagna Zimbra dello stesso attore, Laundry Bear ha già pivotato su una piattaforma diversa, OWA, con un implant JavaScript inedito denominato OWAReaper.
Il dato che rende questa campagna sistemicamente diversa dalla cronaca delle minacce email non è la criticità del bug — Microsoft ha assegnato CVSS 8.1, classificazione HIGH — ma l'architettura di persistenza server-side che rende inefficaci le procedure standard di incident response: rotazione delle credenziali e reinizializzazione completa del dispositivo non espellono l'attore. Questo articolo ricostruisce i meccanismi tecnici, le implicazioni operative per i team di sicurezza e i limiti delle fonti disponibili.
- Laundry Bear ha iniziato la campagna OWA il 22 luglio 2026, il giorno prima dell'advisory congiunto sulla sua attività Zimbra, dimostrando agilità operativa superiore ai cicli di risposta difensiva.
- CVE-2026-42897 è una vulnerabilità XSS in OWA con CVSS 8.1 (HIGH) secondo Microsoft; NVD assegna invece 6.1 (MEDIUM), una discrepanza che i difensori devono considerare nella prioritizzazione.
- OWAReaper stabilisce persistenza lato server manipolando le autorizzazioni dell'utente built-in "Default" a livello Owner su tutte le cartelle di posta, consentendo accesso a qualsiasi utente autenticato dell'organizzazione.
- Il command-and-control sfrutta l'API GitHub Commit Search e la posta in entrata con polling IndexedDB ogni 5 minuti, con esfiltrazione via HTTPS su percorsi crittografati AES-CTR.
Il meccanismo XSS: dall'apertura della email alla compromissione del browser
CVE-2026-42897 risiede in una insufficiente neutralizzazione dell'input HTML durante la generazione della pagina OWA — classificazione CWE-79 secondo NVD. Un attaccante invia una email appositamente confezionata; all'apertura nella lettura di OWA, il codice JavaScript si esegue nel contesto del browser della vittima. Microsoft ha confermato lo stato "Exploitation Detected" a partire dal bollettino di maggio 2026; l'infrastruttura più datata collegata alla campagna risale a marzo 2026, circa due mesi prima della disclosure ufficiale, rendendo plausibile l'uso della vulnerabilità come zero-day.
OWAReaper si presenta come implant JavaScript interamente browser-based: non scrive eseguibili sul filesystem host, non richiede privilegi elevati, non genera firme tradizionali rilevabili da EDR endpoint. Il payload iniziale utilizza le API Outlook per riscrivere il contenuto della stessa email sul server Exchange, rimuovendo le tracce dell'exploit. Questa autocancellazione server-side elimina la principale fonte di evidence forense per gli analisti che indagino sulla posta ricevuta.
Dal contesto del browser, OWAReaper crea elementi DOM input invisibili per catturare le credenziali tramite autofill, quindi si replica in localStorage sotto una chiave legittima di configurazione OWA — PageDataPayload.OwaUserDefaultSettings. L'implant si reinietta automaticamente in ogni nuova scheda OWA, sopravvivendo alla chiusura e riapertura del browser senza necessità di nuova interazione con la email malevola.
La persistenza server-side: perché l'endpoint diventa irrilevante
Il meccanismo che distingue OWAReaper dalla minaccia email convenzionale è l'escalation da persistenza browser-based a persistenza server-side tramite manipolazione delle autorizzazioni Exchange. L'implant ruba token OAuth utilizzando la funzione GetClientAccessToken con permessi ReadWriteMailbox concessi a componenti add-in, quindi assegna autorizzazioni Owner al livello "Default user" — l'utente built-in di Exchange che rappresenta qualsiasi utente autenticato nell'organizzazione.
Secondo Proofpoint, questa modifica "grants full access to the mailbox to any authenticated user in the same organization". La conseguenza è che la compromissione non è più legata all'endpoint della vittima: anche dopo rotazione completa delle credenziali e reinizializzazione del dispositivo, l'attore mantiene accesso indiretto alla casella di posta attraverso qualsiasi altro account dell'organizzazione. L'unica rimozione efficace richiede un intervento deliberato sul server Exchange per individuare e revocare le autorizzazioni alterate.
Un secondo meccanismo di persistenza opera tramite iframe nascosti nella cache offline IndexedDB di OWA. Quando la cache viene accessa dopo la reinizializzazione del dispositivo, il payload si reattiva, ricostruendo l'infezione nel nuovo browser. Proofpoint ha documentato polling della cache ogni 5 minuti per comandi in entrata, con una finestra di lookback di 30 minuti per i messaggi email utilizzati come vettore C2.
"This persistent access lives on the server-side and requires deliberate removal from the Exchange server; credential rotation and even full re-imaging of the targeted user's device will not evict the actor." — Proofpoint researchers, via The Hacker News
Infrastruttura e tempistiche: il pivot da Zimbra a OWA
L'operazione Laundry Bear dimostra una capacità di riallocazione delle risorse offensiva che sfida i modelli di risposta coordinata. Il 23 luglio 2026, NSA e Proofpoint hanno pubblicato un advisory congiunto sulla campagna Zimbra dell'attore — denominata ZimReaper — caratterizzata da harvesting di email per periodi fino a novanta giorni. Il giorno precedente, il 22 luglio, TA488 aveva già attivato l'infrastruttura OWAReaper, con domini e risorse operative predisposti da marzo 2026.
ComputerWeekly ha rilevato questo intervallo di ventiquattro ore come indicatore di "operational security improvements" e di una capacità di sviluppo parallelo delle infrastrutture. Il Record ha collegato il gruppo alla società IT russa Yutek-NN, con connessioni documentate al FSB da parte dei pubblici ministeri statunitensi. Le vittime della campagna OWA appartengono a entità governative statunitensi ed europee, settori delle telecomunicazioni, finanza, ospitalità e aerospazio — un targeting insolitamente ampio per TA488, che Proofpoint interpreta come tattica di mimetizzazione nel traffico di spam di massa.
Le esche utilizzate — supply chain, mercati del gas, metriche del turismo — sono deliberatamente generiche, prive di URL o allegati per minimizzare i trigger di sospetto. Proofpoint ha classificato la metodologia come "half-click exploit": sufficiente l'apertura della email, senza necessità di clic su link o abilitazione di contenuto.
Cosa fare adesso
Le raccomandazioni operative derivano direttamente dalle evidenze documentate nelle fonti primarie:
- Verificare le autorizzazioni delle cartelle di posta in Exchange per l'utente "Default": un'autorizzazione Owner anomala su cartelle di caselle utente è indicatore di compromissione server-side.
- Pulire localStorage e IndexedDB del browser per tutte le sessioni OWA: OWAReaper si annida in chiavi di configurazione legittime e nella cache offline.
- Revocare i token OAuth emessi per le applicazioni add-in con permessi ReadWriteMailbox, e auditarne la concessione storica.
- Applicare la patch Microsoft rilasciata il 9 giugno 2026 per CVE-2026-42897 su Exchange Server 2016 e 2019 on-premises; Exchange Online non è interessato dalla vulnerabilità.
CISA ha inserito CVE-2026-42897 nel catalogo KEV il 15 maggio 2026 con date di azione obbligatorie per gli enti federali. Le fonti non specificano se versioni particolari della patch eliminino automaticamente le autorizzazioni "Default" alterate in pregresso, né documentano casi di rimozione verificata di questa persistenza in ambiente di produzione.
I limiti del dossier: cosa resta da verificare
Non emergono conferme che Microsoft o altri vendor abbiano rilevato OWAReaper prima del rapporto Proofpoint del 29 luglio 2026. Il dossier non stabilisce con certezza se la vulnerabilità sia stata sfruttata attivamente prima della disclosure del 14 maggio 2026 — la tesi dello zero-day resta plausibile ma non dimostrata. Resta sconosciuta l'entità complessiva delle organizzazioni compromesse e dei dati esfiltrati nella campagna OWA.
Le fonti non documentano inoltre se strumenti di detection esistenti identifichino le query verso l'API GitHub Commit Search come indicatore di compromissione, né se le CDN image utilizzate per il tunneling HTTPS siano state catalogate in intelligence feeds commerciali. Il potenziale impiego di strumenti di intelligenza artificiale nello sviluppo di OWAReaper — ipotizzato per la campagna Zimbra parallela — non è attestato per l'implant OWA.
La discrepanza tra il punteggio CVSS 8.1 di Microsoft e il 6.1 di NVD non è risolta nel dossier; i team di vulnerabilità devono considerare entrambi i rating nella propria prioritizzazione, riconoscendo che il CNA del vendor ha visibilità diretta sulla exploitability osservata.
Fonti
- https://thehackernews.com/2026/07/russian-hackers-exploit-microsoft-owa.html
- https://therecord.media/russia-hackers-outlook-webmail-malware
- https://www.bleepingcomputer.com/news/security/russian-hackers-exploit-exchange-owa-zero-day-for-long-term-mailbox-access/
- https://www.infosecurity-magazine.com/news/russian-hackers-zero-click/
- https://www.rapid7.com/blog/post/dr-the-next-evolution-mdr-preemptive-defense-agentic-investigation
- https://www.proofpoint.com/us/blog/threat-insight/cleaning-out-inboxes-ta488-comes-outlook-another-half-click-exploit
- https://www.infosecurity-magazine.com/news/ta488-outlook-half-click-owareaper/
- https://www.computerweekly.com/news/366646692/Laundry-Bear-pivots-to-new-exploit-days-after-Zimbra-alert
- https://nvd.nist.gov/vuln/detail/CVE-2026-42897
- https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-204a
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-42897
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-42897
- https://thehackernews.com/2026/05/on-prem-microsoft-exchange-server-cve.html
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.