Nhóm gián điệp TA488 mở rộng tấn công “half-click” từ Zimbra sang Outlook Web Access
"Proofpoint reported that the Russian espionage group TA488, also known as Laundry Bear, expanded its "half-click" email attack from Zimbra to Microsoft Outlook Web Access by exploiting CVE-2026-42897, a cross-site scripting flaw in on-premises Exchange Server. When a victim opens a booby-trapped message in OWA, attacker-controlled JavaScript runs in the authenticated mail session, enabling a browser implant called OWAReaper that can persist through password changes and device rebuilds; Exchange Online is not affected, and Microsoft had previously disclosed the vulnerability and issued a patch."
Nguy cơ cao do khai thác XSS trong OWA cho phép chạy JavaScript trong phiên mail đã xác thực và cấy OWAReaper có thể tồn tại qua đổi mật khẩu/khởi tạo lại thiết bị; Exchange Online không bị ảnh hưởng.
Tác động đáng kể tới các tổ chức dùng Exchange Server on-prem cho email doanh nghiệp, vì có thể dẫn tới rò rỉ dữ liệu và gián đoạn điều tra do implant tồn tại trong hộp thư; phạm vi ngành rộng làm tăng rủi ro lan truyền.
Proofpoint cho biết nhóm gián điệp TA488 (còn được theo dõi với tên Laundry Bear) đã mở rộng kỹ thuật “half-click” từ Zimbra Collaboration Suite sang Outlook Web Access (OWA). Theo báo cáo, tác nhân khai thác CVE-2026-42897, một lỗi cross-site scripting (XSS) trong thành phần OWA của Exchange Server triển khai tại chỗ. Khi nạn nhân mở một email “gài bẫy” ngay trong phiên OWA đã đăng nhập, mã JavaScript do kẻ tấn công điều khiển có thể chạy trong ngữ cảnh phiên thư của nạn nhân.
Proofpoint nêu rằng chiến dịch nhắm tới nhiều tổ chức, bao gồm cơ quan chính phủ ở Mỹ và châu Âu, cùng các lĩnh vực viễn thông, tài chính, khách sạn và hàng không vũ trụ. Thay vì cài mã độc trực tiếp lên máy, kẻ tấn công triển khai một browser implant có tên OWAReaper. Thành phần này được mô tả có thể tồn tại qua đổi mật khẩu, khởi tạo lại thiết bị và khởi động lại trình duyệt, vì điểm bám nằm trong hộp thư bị xâm phạm chứ không phải trên Windows.
Exchange Online không bị ảnh hưởng. Microsoft đã công bố và phát hành bản vá trước đó. Khuyến nghị: rà soát và cập nhật Exchange Server on-prem theo lịch vá của nhà cung cấp, đồng thời tăng cường kiểm soát email/OWA để giảm khả năng người dùng mở nội dung độc hại trong phiên đăng nhập.