Proofpoint beobachtete die Aktivität vor einer Woche. Das Unternehmen führt die Kampagne auf TA488 zurück, eine interne Bezeichnung für Laundry Bear beziehungsweise Void Blizzard. Nach Angaben der Forscher hatte der Akteur die Angriffsinfrastruktur für OWAReaper bereits im März aufgebaut, also fast zwei Monate vor Microsofts Warnung.
Technisch beruht der Angriff laut Microsoft und Proofpoint auf einer unzureichenden Bereinigung von HTML-Code im Nachrichtentext. Dadurch können Angreifer JavaScript in E-Mails einschleusen, das beim Öffnen der Nachricht in Outlook Web Access ausgeführt wird. Proofpoint nennt solche XSS-Angriffe auf Webmail-Plattformen „Half-Click-Exploits“, weil kein Klick auf einen Link und kein Anhang nötig ist.
Die zuletzt beobachteten Köder behandelten laut Proofpoint Themen, die für die jeweiligen Ziele relevant waren, darunter Lieferkettenanalysen, Forschungsupdates sowie Leistungsindikatoren für Tourismus- und Gasmärkte. Die Betreffzeilen und Inhalte seien bewusst unauffällig gestaltet, damit die Empfänger die Nachricht öffnen und überfliegen, sie anschließend aber eher als belanglos abtun als melden.
In den E-Mails steckte ein JavaScript-Lader, dazu Base64-kodierte Nutzdaten, die nach dem Zeichen „#“ in Adressen von Symbolen sozialer Medien eingebettet waren. Die Schwachstelle liefert schließlich die Hintertür OWAReaper aus, die Proofpoint als die bislang ausgefeilteste über Half-Click-Exploits verteilte Backdoor beschreibt. Die Forscher sehen darin zugleich eine Weiterentwicklung der Schadsoftware ZimReaper, die Laundry Bear zuvor über die XSS-Schwachstelle CVE-2025-66376 in Zimbra-Servern als Zero-Day verteilt hatte. Diese Malware stahl E-Mail-Kommunikation, Zwei-Faktor-Codes, Anwendungspasscodes und Passwörter.
OWAReaper läuft laut Proofpoint vollständig im Lesebereich von Outlook Web Access. Nach der Ausführung nutzt die Malware Outlook-APIs, um die E-Mail auf dem Exchange-Server umzuschreiben und den Exploit-Inhalt zu entfernen. Gleichzeitig deaktiviert sie während der Laufzeit OWA-Pop-ups und die Rechtsklick-Funktion. Außerdem sammelt sie die E-Mail-Adresse, den Benutzernamen und Outlook-Einstellungen des kompromittierten Kontos. Um Zugangsdaten abzugreifen, erstellt sie unsichtbare Elemente im Document Object Model und wartet darauf, dass der Browser diese automatisch ausfüllt.
Besonders bemerkenswert ist nach Einschätzung von Proofpoint die Persistenz. TA488 könne den Zugriff auf ein Postfach selbst dann aufrechterhalten, wenn das betroffene System mit einem sauberen Abbild wiederhergestellt oder Zugangsdaten ausgetauscht werden. OWAReaper prüft dazu installierte Outlook-Add-ins mit ReadWriteMailbox-Berechtigungen und missbraucht sie, um über die Operation GetClientAccessToken OAuth-Token zu stehlen. Anschließend ruft die Malware UpdateFolder auf, um dem Benutzer „Default“ für jeden Mail-Ordner Eigentümerrechte zu geben. Da dieser Alias in allen Microsoft-Exchange-Mandanten mit geringen Rechten vorhanden ist, können die Angreifer so von jedem authentifizierten Konto innerhalb der Organisation auf das Postfach zugreifen.
Ein zweiter Persistenzmechanismus aktiviert Caching und injiziert ein schädliches iframe in den HTML-Inhalt von Nachrichten, die in OWA in der Offline-IndexedDB gespeichert sind. Dieses iframe wird laut Proofpoint jedes Mal ausgeführt, wenn das Opfer eine vergiftete E-Mail aus dem Cache öffnet.
Für die Kommunikation mit den Angreifern unterstützt OWAReaper zwei Kommando-und-Kontroll-Mechanismen. Einer nutzt GitHub-Commit-Nachrichten als Kanal. Alle 24 Stunden fragt die Malware dazu die Commit-Search-API von GitHub nach verschlüsselten Nachrichten ab, die einem bestimmten Format folgen und die E-Mail-Adresse des Ziels enthalten. Zusätzlich kann OWAReaper E-Mails im Postfach des Opfers auswerten und sucht in der IndexedDB nach Nachrichtentexten mit der Struktur „{Ziel-E-Mail-Adresse}{Leerzeichen}{Base64-Text}“.
Auch für die Datenabfuhr verwendete Laundry Bear laut Proofpoint zwei Methoden. Vorrangig lief sie über HTTPS, wobei mit AES-CTR verschlüsselte URI-Pfade über bestimmte Bild-CDN-Domänen weitergeleitet wurden. Falls das fehlschlägt, sendet die Malware die Daten direkt an den Server des Angreifers, der in der Funktion zum Initialisieren ausgehender Netzwerksitzungen hinterlegt ist. Als weitere Rückfalloption steht DNS-Exfiltration bereit, bei der die Daten zunächst verschlüsselt und anschließend per Base32 in Pakete kodiert werden.
Proofpoint begründet die Zuordnung der OWAReaper-Kampagne zu TA488 mit Verhaltensüberschneidungen zur ZimReaper-Aktivität und mit dem Einsatz von Half-Click-XSS-Exploits gegen Webmail-Anzeigen für Spionagezwecke. Die Forscher veröffentlichten zudem eine kleine Auswahl an Kompromittierungsindikatoren, darunter verwendete Domains sowie den HTML-Nachrichtentext mit dem Exploit für CVE-2026-42897 und der OWAReaper-Nutzlast.