Proofpoint zufolge setzte Laundry Bear in der neuen Angriffswelle auf eine bislang unbekannte, browserbasierte JavaScript-Hintertür mit dem Namen OWAReaper. Sie sei gezielt für dauerhaften Zugriff innerhalb von Outlook Web Access entwickelt worden. Nach Einschätzung der Forscher ist es zudem plausibel, dass die Gruppe die Schwachstelle als Zero-Day ausnutzte.
Besonders auffällig ist laut Proofpoint die verwendete Infektionskette. Die Angreifer kompromittierten Konten mit sogenannten „Half-Click“-Exploits. Dabei reichte es aus, eine E-Mail zu öffnen, um die Angriffskette zu starten. OWAReaper sei zum Zeitpunkt der Veröffentlichung „die ausgefeilteste Hintertür, die Proofpoint über Half-Click-Exploits ausgeliefert gesehen hat“, vor allem wegen ihrer „Reihe unauffälliger Persistenzmechanismen“. Greg Lesnewich, einer der Autoren des Berichts, bezeichnete das Implantat in sozialen Medien als „eines der beeindruckendsten Implantate, die wir je untersucht haben“.
Die Vorbereitung der OWAReaper-Kampagne begann laut Proofpoint im März. Die betroffene OWA-Schwachstelle wird als CVE-2026-42897 geführt. Sie wurde im Mai erstmals öffentlich gemacht und gepatcht. Microsoft veröffentlichte Mitte Juli erstmals Informationen zur Behebung.
Proofpoint erklärte außerdem, die am 22. Juli entdeckten Erkenntnisse hätten nicht mehr rechtzeitig analysiert und in die Warnmeldung der vergangenen Woche aufgenommen werden können.
Laundry Bear wird auch unter den Bezeichnungen TA488 und Void Blizzard geführt. Niederländische Behörden und Microsoft identifizierten die Gruppe im vergangenen Jahr erstmals als Advanced Persistent Threat. US-Staatsanwälte brachten die Akteure mit dem russischen IT-Unternehmen Yutek-NN in Verbindung, das Verbindungen zum Inlandsgeheimdienst FSB haben soll.