Europese overheidsinstanties zijn vorige week het doelwit geweest van een aanval waarbij misbruik werd gemaakt van een cross-site scripting (XSS)-lek in Outlook Web Access (OWA). Het doel van de aanval was het stelen van e-mails, tokens en andere informatie, zo stelt cybersecuritybedrijf Proofpoint in een analyse. Microsoft waarschuwde op 14 mei voor de XSS-kwetsbaarheid (CVE-2026-42897), waar toen al actief misbruik van werd gemaakt. Het techbedrijf gaf verschillende mitigatiemaatregelen. Een beveiligingsupdate voor het probleem verscheen op 9 juni. Proofpoint stelt dat de infrastructuur die bij de recente XSS-aanvallen is ingezet al in maart van dit jaar is opgezet. De verantwoordelijke groep, die de naam TA488 heeft, zou de kwetsbaarheid mogelijk als zerodaylek hebben ingezet.
Cross-site scripting is een beveiligingsprobleem dat al decennia bekend is en ervoor zorgt dat aanvallers malafide code op een kwetsbare website of webapplicatie kunnen 'injecteren' die vervolgens in de browser van gebruikers wordt uitgevoerd. Zo is het bijvoorbeeld mogelijk om cookies te stelen en toegang tot een account te krijgen. In het geval van CVE-2026-42897 gaat de Outlook Exchange-server niet goed om met HTML-inhoud van e-mails. Bij de XSS-aanvallen waarover Proofpoint bericht worden speciaal geprepareerde e-mails verstuurd. Wanneer de e-mail wordt geopend in Outlook Webmail, zorgt de aanwezige HTML ervoor dat de Outlook Exchange-server willekeurige JavaScript van de aanvallers uitvoert. Het gaat hierbij om malware die door Proofpoint OWAReaper wordt genoemd.
De malware zal in de volgende stap twee onzichtbare invoervelden in de DOM (document object model) plaatsen en wacht totdat de browser automatisch de gebruikersnaam en wachtwoord van de gebruiker invult, om zo de OWA-inloggegevens te stelen. Daarnaast schrijft OWAReaper een versie van zichzelf naar de localStorage van de browser. Dit zorgt ervoor dat de malware elke keer wordt uitgevoerd als de gebruiker een OWA-venster in de browser opent. Vervolgens zoekt de malware naar geïnstalleerde Outlook add-ins met ReadWriteMailbox permissies. Wanneer het die vindt gebruikt het een functie om OAuth tokens te stelen.
OWAReaper zal in een volgende stap zich Owner-level permissies geven voor de "Default" gebruiker van elke mailfolder. "In andere woorden, dit geeft volledige toegang tot de mailbox van elke ingelogde gebruiker in dezelfde organisatie. Dit is essentieel in de infectieketen; als TA488 toegang tot andere accounts in de organisatie heeft, behoudt de groep blijvende toegang tot de mailbox van het doelwit. Deze blijvende toegang bevindt zich aan de serverkant en moet bewust van de Exchange-server worden verwijderd; het aanpassen van inloggegevens en het opnieuw installeren van het apparaat van het slachtoffer zal de aanvaller niet verwijderen", aldus de onderzoekers.
Bij de allerlaatste stap probeert de malware ook op een andere manier blijvende toegang te behouden, door aan e-mailberichten die zich in de offline IndexedDB message cache van OWA bevinden een verborgen iframe toe te voegen en daarna caching in te schakelen. Dit iframe wordt automatisch uitgevoerd wanneer het slachtoffer een aangepaste e-mail uit de cache opent. Het uiteindelijke doel van de malware is het stelen van e-mails. Naast Europese overheidsinstanties zijn ook organisaties in de telecom-, financiële, hospitality en luchtvaartsectoren aangevallen. Volgens Proofpoint is TA488 een aan Rusland gelieerde groep aanvallers die ook bekendstaat als Void Blizzard en Laundry Bear. Onlangs waarschuwde de AIVD nog dat de Laundry Bear-groep verantwoordelijk is voor XSS-aanvallen op gebruikers van Zimbra-webmail.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
