Nhóm tấn công liên quan TA488 khai thác lỗ hổng Microsoft OWA để duy trì truy cập hộp thư sau khi đổi mật khẩu
"Threat actors attributed to Laundry Bear/TA488 exploited CVE-2026-42897, a Microsoft Outlook Web Access (OWA) cross-site scripting flaw, to deploy a browser-based implant called OWAReaper. The malware enables persistent mailbox access, credential theft, OAuth token theft, and data exfiltration, and can survive credential rotation and even device re-imaging; Microsoft had previously noted exploitation of the flaw as early as May 2026 and patched it after disclosure."
Tác động lớn do duy trì truy cập hộp thư sau đổi mật khẩu và khả năng đánh cắp OAuth token/credentials; implant có thể sống sót cả re-imaging thiết bị vì persistence nằm phía server và cache trình duyệt.
Nguy cơ cao cho các tổ chức mục tiêu do truy cập mailbox bền vững và rò rỉ dữ liệu qua HTTPS/DNS có thể ảnh hưởng bí mật thông tin, tuân thủ và chi phí xử lý sự cố.
Các tác nhân đe doạ được gán cho Laundry Bear/TA488 được ghi nhận khai thác một lỗ hổng đã được vá trong Microsoft Outlook Web Access (OWA) nhằm duy trì quyền truy cập hộp thư ngay cả sau khi người dùng credential rotation. Hoạt động bắt đầu từ 22/07/2026 và tập trung vào CVE-2026-42897 (XSS trong OWA, CVSS 8.1), mà Microsoft từng cảnh báo đã bị khai thác từ tháng 05/2026.
Theo Proofpoint, chuỗi tấn công sử dụng email mồi nhử chung chung từ tài khoản Proton Mail do kẻ tấn công kiểm soát hoặc từ địa chỉ đã bị xâm nhập. Khi nạn nhân xem email trên phiên bản Zimbra dễ tổn thương trước đó, payload JavaScript ZimReaper có thể thu thập dữ liệu mail. Ở giai đoạn mới, khai thác CVE-2026-42897 dẫn tới triển khai implant trình duyệt OWAReaper, chạy trong ngăn đọc OWA.
OWAReaper dùng Outlook APIs để viết lại email trên Exchange, xoá nội dung khai thác, đồng thời tạo cơ chế bền vững qua localStorage và offline IndexedDB cache (iframe ẩn). Malware còn đánh cắp credentials lưu trên trình duyệt và OAuth tokens nếu có add-in với ReadWriteMailbox, cấp quyền ở mức Owner cho mọi thư mục. Dữ liệu rò rỉ qua HTTPS (AES-CTR) hoặc DNS tunneling.
Khuyến nghị: rà soát và áp dụng bản vá cho CVE-2026-42897, kiểm soát add-in OWA/Outlook có quyền ReadWriteMailbox, giám sát bất thường trong OWA (localStorage/IndexedDB, hành vi OAuth token), đồng thời loại bỏ truy cập server-side trên Exchange theo hướng dẫn quản trị.