Proofpoint ordnet die aktuelle Kampagne der Gruppe Laundry Bear zu, die unter mehreren Bezeichnungen geführt wird: CL-STA-1114, TA488, UNK_PitStop und Void Blizzard. Dieselbe Gruppe war laut dem Unternehmen kürzlich auch mit der Ausnutzung der Zero-Day-Schwachstelle CVE-2025-66376 in Zimbras Classic UI in Verbindung gebracht worden. Diese XSS-Lücke soll seit mindestens Juli 2025 ausgenutzt worden sein, bevor sie vier Monate später gepatcht wurde.
Bei den früheren Zimbra-Angriffen verschickten die Akteure E-Mails von durch die Angreifer kontrollierten Proton-Mail-Konten und von bereits kompromittierten Adressen. Schon das Öffnen der Nachricht in einer verwundbaren Zimbra-Version löste den Exploit aus und führte zur Ausführung eines JavaScript-Pakets namens ZimReaper, das 90 Tage E-Mail-Inhalte und weitere wertvolle Daten abgreifen konnte. Proofpoint beschreibt diesen Ansatz als „Half-Click“-Exploit: Das Öffnen der E-Mail genügt für die Kompromittierung.
Nach Einschätzung von Proofpoint setzt TA488 diese Methode nun verstärkt ein. Die Angreifer versenden erneut Nachrichten über kompromittierte Konten, diesmal zur Ausnutzung von CVE-2026-42897 in OWA. Die Menge der Phishing-Nachrichten und die Breite der Zielauswahl unterscheiden sich laut den Forschern von früheren Kampagnen und deuten auf einen bewusst breit angelegten Ansatz hin, der zwischen Massenversand und Spam untergehen soll.
Die Ködertexte bleiben dabei vage und verlangen keine Aktion vom Empfänger. Proofpoint beobachtete Themen wie Lieferkettenanalysen, Forschungsupdates sowie Kennzahlen zu Tourismus- oder Gasmärkten. Auffällig ist, dass die Nachrichten absichtlich ohne Links oder Anhänge auskommen. Das soll den Eindruck legitimer Informationsmails erzeugen und die Wahrscheinlichkeit erhöhen, dass Empfänger die Nachricht öffnen und lesen — womit der Exploit ausgelöst wird.
Technisch nutzt der Angriff laut Proofpoint einen JavaScript-Loader, der über den Ereignishandler „onload=“ den restlichen Nachrichteninhalt ausliest, ein Base64-Fragment zusammensetzt und als kodiertes JavaScript ausführt. Der anfängliche Exploit-Auslöser und relevante Nutzlasten sind demnach in den im HTML-Nachrichtentext eingebetteten Symbolen sozialer Medien versteckt. Weitere Nutzlastdaten werden nach „#“-Zeichen abgelegt, die der Browser beim Parsen von Bildern aus Base64 ignoriert.
Am Ende der Angriffskette wird OWAReaper installiert, ein bislang unbekanntes browserbasiertes JavaScript-Implantat für dauerhaften Zugriff innerhalb von Microsofts Webmail-Client. Laut Proofpoint ist es die bislang ausgefeilteste Hintertür, die über Half-Click-Exploits ausgeliefert wurde, und eine Weiterentwicklung von ZimReaper mit deutlichen Überschneidungen im Quellcode und Verhalten. OWAReaper läuft im Lesebereich von OWA und verwendet Outlook-APIs, um die E-Mail auf dem Exchange-Server umzuschreiben und die Exploit-Inhalte zu entfernen.
Während der Ausführung deaktiviert die Schadsoftware OWA-Pop-ups und das Rechtsklick-Menü, erzeugt einen für das Ziel eindeutigen Sitzungsschlüssel und sammelt E-Mail-Adresse, Benutzernamen und Outlook-Einstellungen. Anschließend legt sie zwei unsichtbare Eingabeelemente im DOM an, um über die Autofill-Funktion des Browsers in OWA gespeicherte Zugangsdaten abzugreifen.
Für die Persistenz schreibt OWAReaper eine verschlüsselte Version von sich selbst samt Entschlüsselungs-Wrapper in den lokalen Speicher des Browsers. Dadurch wird die Schadsoftware jedes Mal automatisch ausgeführt, wenn der Nutzer einen OWA-Tab öffnet. Zusätzlich sucht sie nach installierten Outlook-Erweiterungen mit ReadWriteMailbox-Berechtigungen, stiehlt bei Erfolg OAuth-Token und vergibt sich für den Standardnutzer auf allen Mail-Ordnern Owner-Rechte. Nach Angaben von Proofpoint ermöglicht das jedem authentifizierten Nutzer derselben Organisation vollständigen Zugriff auf das Postfach.
Die Forscher betonen, dass genau dieser Schritt entscheidend für den dauerhaften Zugriff ist: Hat TA488 Zugriff auf weitere Konten innerhalb der Organisation, bleibt der Zugriff auf das Postfach serverseitig bestehen. Dieser Mechanismus müsse gezielt auf dem Exchange-Server entfernt werden; ein Austausch von Zugangsdaten oder selbst eine vollständige Neuinstallation des betroffenen Geräts reiche nicht aus, um die Angreifer zu verdrängen.
Eine zweite Persistenzmethode ergänzt diesen Ansatz. OWAReaper fügt versteckte iframe-Elemente in Nachrichten ein, die im Offline-IndexedDB-Cache von OWA gespeichert sind, und aktiviert die Zwischenspeicherung. Wird eine bösartige Nachricht aus diesem Cache geöffnet, wird das iframe erneut ausgeführt und infiziert das Zielsystem nach einer Neuinstallation des Hosts wieder.
Für die Steuerung nutzt OWAReaper zwei Kanäle: GitHub oder von den Angreifern versandte E-Mails. Das Skript fragt alle 24 Stunden die Commit-Such-API von GitHub nach Commit-Nachrichten ab, die die E-Mail-Adresse des Ziels enthalten. Wird ein Treffer gefunden, entschlüsselt die Schadsoftware die Daten mit einem im JavaScript fest kodierten Schlüssel und einem sitzungsspezifischen AES-Schlüssel. Alternativ verarbeitet sie eingehende E-Mails der TA488-Operatoren, die im IndexedDB-Speicher nach dem Muster „{Ziel-E-Mail-Adresse}{Leerzeichen}{Base64-Text}“ gesucht werden.
Die Exfiltration erfolgt laut Proofpoint primär über HTTPS mit per AES-CTR verschlüsselten URI-Pfaden. Falls das nicht funktioniert, weicht die Schadsoftware auf DNS-Label-Tunneling aus und schleust Daten in normalen DNS-Anfragen an eine von den Angreifern kontrollierte Domain aus. Proofpoint zufolge entstand die früheste in dieser Kampagne genutzte Infrastruktur bereits im März 2026, also zwei Monate bevor Microsoft CVE-2026-42897 offenlegte. Das werfe die Möglichkeit auf, dass die Lücke als Zero Day ausgenutzt wurde. Außerdem habe das Unternehmen zwischen Februar und dem 22. Juli 2026 keinerlei Aktivität von TA488 beobachtet.