TA488 colpisce Outlook Web con email che infettano alla sola apertura

🛡️ Executive Summary

• TA488 sfrutta CVE-2026-42897 contro Outlook Web Access: è sufficiente aprire l’email nel browser per eseguire il payload.
• La nuova backdoor OWAReaper ruba credenziali e token, modifica i permessi delle cartelle e persiste nelle impostazioni di OWA.
• Rotazione delle password e reinstallazione del computer non eliminano da sole l’accesso, perché parte della persistenza vive su Exchange.

TA488, gruppo russo conosciuto anche come Void Blizzard e Laundry Bear, ha avviato una nuova campagna di cyberspionaggio contro Outlook Web Access, utilizzando email che compromettono la vittima quando vengono semplicemente aperte nel browser. L’operazione sfrutta CVE-2026-42897, vulnerabilità XSS di Exchange corretta da Microsoft con un aggiornamento fuori ciclo, e installa una backdoor JavaScript inedita chiamata OWAReaper. Il malware non deposita un normale eseguibile sul computer, ma opera all’interno del contesto web di Outlook, sottrae credenziali e token OAuth e modifica i permessi delle caselle. La persistenza può sopravvivere alla rotazione della password, al riavvio del browser e persino alla reinstallazione completa del dispositivo.

Una normale email attiva l’exploit senza allegati

La campagna osservata da Proofpoint è iniziata il 22 luglio 2026 e ha colpito organizzazioni governative statunitensi ed europee, insieme ad aziende dei settori telecomunicazioni, finanza, ospitalità e aerospazio. Le email non contengono allegati, pulsanti o collegamenti che invitano la vittima a compiere un’azione. I messaggi imitano comunicazioni informative su catene di fornitura, turismo, mercati energetici, sanità pubblica, risorse idriche o industria dei semiconduttori. Il contenuto volutamente anonimo aumenta la probabilità che il destinatario apra il messaggio, lo legga rapidamente e lo ignori come comunicazione poco interessante senza segnalarlo al reparto di sicurezza.

Quando l’email viene visualizzata nel pannello di lettura di Outlook Web, il server Exchange gestisce in modo scorretto il codice HTML e consente l’esecuzione di JavaScript arbitrario. Proofpoint definisce questa tecnica half-click, perché non è necessario cliccare realmente su un elemento: l’apertura del messaggio completa già la parte richiesta alla vittima. La campagna rappresenta un’evoluzione delle precedenti operazioni di Void Blizzard contro governi, ONG e forze di polizia, nelle quali l’obiettivo principale rimaneva l’accesso alle comunicazioni e alle identità istituzionali.

CVE-2026-42897 esegue JavaScript nel contesto di OWA

La vulnerabilità nasce da una sanitizzazione insufficiente del corpo HTML delle email elaborate da Outlook Web Access. Il messaggio contiene un gestore onload che ricostruisce il payload partendo da frammenti Base64 nascosti all’interno delle icone social mostrate nel footer. I dati aggiuntivi vengono collocati dopo il carattere #, porzione che il browser non considera necessaria per il caricamento dell’immagine ma che rimane disponibile al codice JavaScript della pagina. Il loader estrae i frammenti, li ricompone e avvia OWAReaper direttamente nel contesto della sessione Outlook autenticata.

Rispetto alle precedenti campagne contro Zimbra, la struttura è più difficile da individuare perché l’exploit e il payload rimangono incorporati nel messaggio, senza download evidenti o collegamenti verso file esterni. Microsoft aveva corretto CVE-2026-42897 nel maggio 2026, ma Proofpoint ha individuato infrastrutture riconducibili alla campagna già nel marzo dello stesso anno. La cronologia rende plausibile che TA488 abbia conosciuto e sfruttato il bug come zero-day, anche se i ricercatori non dispongono di prove sufficienti per presentare questa ipotesi come attribuzione definitiva. La vulnerabilità era già comparsa nell’analisi su Microsoft Exchange e la correzione dello zero-day CVE-2026-42897.

OWAReaper cancella le tracce dal messaggio originale

Dopo l’esecuzione, OWAReaper utilizza le API di Outlook per riscrivere l’email memorizzata sul server Exchange e rimuovere il codice dell’exploit. La vittima può quindi riaprire il messaggio senza trovare gli elementi che hanno attivato la compromissione, mentre gli investigatori rischiano di analizzare una versione già ripulita. Durante la fase iniziale, il malware disabilita anche i menu contestuali e alcune finestre di OWA, genera una chiave di sessione unica e raccoglie indirizzo email, nome utente e impostazioni della casella. L’impianto crea poi due campi invisibili nel DOM e attende che il browser inserisca automaticamente le credenziali salvate, tecnica con cui prova a sottrarre username e password senza mostrare un normale modulo di phishing. OWAReaper deriva dalla precedente backdoor ZimReaper, ma riduce l’esfiltrazione indiscriminata delle email e introduce meccanismi di persistenza più discreti. La continuità tecnica con le campagne Zimbra rafforza l’attribuzione a TA488, insieme all’uso di esfiltrazione DNS e alla concentrazione sul furto di posta e credenziali. Il precedente attacco in cui Zimbra poteva sottrarre email senza un clic mostra il percorso che il gruppo ha ora adattato a un bersaglio più complesso e diffuso come Exchange.

La persistenza viene nascosta nelle impostazioni di Outlook

OWAReaper cifra una copia del proprio codice e la inserisce nel localStorage del browser, all’interno della chiave legittima PageDataPayload.OwaUserDefaultSettings. Outlook utilizza quel contenitore per ripristinare impostazioni e stato dell’interfaccia, ma il malware manipola il campo OwaFrontendSyncState affinché il normale processo di sincronizzazione esegua nuovamente la backdoor ogni volta che l’utente apre una scheda OWA. Questa persistenza sopravvive al riavvio del browser e non richiede un file eseguibile depositato sul sistema. Il malware inserisce inoltre un iframe nascosto nella cache offline IndexedDB dei messaggi e abilita il caching, creando una seconda possibilità di reinfezione quando la vittima apre un’email avvelenata memorizzata localmente. La combinazione rende insufficiente una bonifica concentrata esclusivamente su disco, processi e chiavi di registro. Un endpoint appena reinstallato può essere compromesso nuovamente quando il browser risincronizza le impostazioni della casella o recupera il contenuto malevolo associato alla sessione Outlook.

I permessi Exchange sopravvivono alla rotazione della password

La forma di persistenza più pericolosa risiede direttamente sul server. OWAReaper cerca add-in Outlook dotati del permesso ReadWriteMailbox e tenta di utilizzare GetClientAccessToken per sottrarre token OAuth. Successivamente modifica i permessi delle cartelle attraverso UpdateFolder, assegnando al soggetto predefinito Default il livello Owner su ogni cartella della casella. In Exchange, Default rappresenta l’insieme degli utenti autenticati della stessa organizzazione. La modifica può quindi consentire a qualsiasi account interno controllato da TA488 di accedere completamente alla posta della vittima. Cambiare la password dell’utente originario non rimuove questo diritto, perché la persistenza non dipende più dalle sue credenziali. Neppure la reinstallazione del computer elimina la configurazione, che rimane archiviata sul server Exchange e richiede una rimozione esplicita. Questo passaggio trasforma la compromissione di un singolo account in un accesso riutilizzabile attraverso altre identità già sottratte all’interno dello stesso tenant.

GitHub e nuove email trasportano i comandi

OWAReaper dispone di due canali di comando e controllo. Il primo utilizza i messaggi dei commit pubblici di GitHub: ogni 24 ore il malware interroga la Commit Search API cercando stringhe contenenti l’indirizzo email della vittima e dati cifrati. I comandi possono sostituire l’intero codice della backdoor, cambiare i domini C2 oppure eseguire JavaScript arbitrario tramite eval(). Il secondo canale sfrutta nuove email inviate dagli operatori. Il malware controlla ogni cinque minuti la cache IndexedDB di OWA e cerca messaggi con una struttura che associa l’indirizzo del bersaglio a un payload Base64. TA488 può quindi amministrare l’impianto usando lo stesso servizio compromesso, nascondendo i comandi dentro comunicazioni apparentemente irrilevanti. Il modello riduce la necessità di mantenere connessioni costanti verso un server criminale e permette di confondere parte dell’attività con il normale traffico verso GitHub ed Exchange.

L’esfiltrazione passa dai CDN o dal DNS

Per inviare dati agli operatori, OWAReaper prova innanzitutto a utilizzare richieste HTTPS i cui percorsi contengono informazioni cifrate con AES-CTR. Le comunicazioni vengono inoltrate attraverso servizi legittimi di caching e ridimensionamento delle immagini, tra cui Weserv.nl, il CDN immagini di WordPress e quello di Slack. Questi servizi ricevono una richiesta che li induce a contattare il dominio controllato da TA488, trasferendo indirettamente i dati e rendendo il traffico simile al caricamento di normali risorse web. Quando i proxy CDN non funzionano, la backdoor contatta direttamente il C2. Come percorso alternativo utilizza il DNS tunneling: cifra i dati, li converte con un alfabeto Base32 e li divide tra più etichette di sottodominio inserite in richieste DNS. File come lo stato della sessione OWA, i metadati degli add-in e l’output dei comandi possono essere sottratti tramite richieste HTTP POST. La doppia infrastruttura garantisce continuità anche quando i controlli aziendali bloccano uno dei protocolli.

La bonifica deve coinvolgere endpoint ed Exchange

La ricerca tecnica di Proofpoint su TA488 e OWAReaper raccomanda di aggiornare immediatamente Exchange con le correzioni Microsoft per CVE-2026-42897 e di non limitare la risposta alla modifica delle password. Le organizzazioni potenzialmente colpite devono revocare e controllare i token Exchange Web Services associati agli add-in, verificare i permessi delle cartelle e rimuovere ogni assegnazione anomala del ruolo Owner al soggetto Default. Sugli endpoint devono essere cancellati il database IndexedDB owa_offline_db e la chiave PageDataPayload.OwaUserDefaultSettings dal localStorage, dopo avere preservato gli elementi necessari all’analisi forense. È inoltre necessario cercare richieste verso i domini C2 pubblicati, interrogazioni DNS anomale e traffico diretto o mediato dai CDN utilizzati dalla backdoor. TA488 non deposita semplicemente un malware sul computer: compromette il rapporto tra browser, Outlook ed Exchange, spostando la persistenza nella casella e nelle sue impostazioni. Per questo una normale reinstallazione può lasciare intatto il vero accesso dell’attaccante.