A ameaça cibernética Ta488, grupo alinhado à Rússia também conhecido como Void Blizzard e Laundry Bear, foi identificada explorando uma vulnerabilidade de dia zero no Microsoft Outlook Web Access (OWA) antes que a Microsoft emitisse um patch de emergência. A operação, que começou em 22 de julho de 2026, transforma e-mails rotineiros em uma porta de entrada para a comprometimento de caixas de correio, utilizando uma falha de cross-site scripting (XSS) rastreada como CVE-2026-42897.
Descoberta e escopo da ameaça
Analistas da Proofpoint identificaram a atividade e nomearam o implante baseado em navegador de OWAReaper. Diferente de ataques de phishing comuns, os e-mails não exigiam anexos nocivos ou links, tornando-os mais fáceis de ignorar em uma caixa de entrada ocupada. O grupo utilizou contas comprometidas para distribuir mensagens vagas sobre cadeias de suprimentos, energia, turismo, saúde pública e métricas de mercado, projetadas para parecerem comuns o suficiente para que os destinatários as abrissem e lessem brevemente.
Quando uma vítima abria o e-mail no Outlook Web Access, o servidor Exchange falhava ao lidar com segurança com partes do conteúdo HTML da mensagem. Esse erro permitia que um carregador JavaScript oculto reconstruísse e executasse o payload OWAReaper diretamente dentro da sessão do navegador da vítima. A infraestrutura mais antiga associada à operação foi criada em março de 2026, cerca de dois meses antes da resposta de emergência da Microsoft, sugerindo que o Ta488 teve acesso à falha como um zero-day.
Como o OWAReaper constrói persistência
O OWAReaper opera inteiramente dentro do ambiente do Outlook Web Access, deixando pouco ou nenhum rastro tradicional de malware no endpoint. Ele pode coletar detalhes da caixa de correio, configurações de usuário e credenciais salvas no navegador, armazenando uma cópia criptografada de si mesmo no armazenamento relacionado ao Outlook. O implante também tenta alterar as permissões das pastas da caixa de correio, potencialmente dando a uma conta padrão de baixo privilégio acesso ao nível de proprietário das pastas.
Esse acesso no lado do servidor pode sobreviver a redefinições de senha ou a uma reconstrução completa do computador da vítima, a menos que os administradores removam deliberadamente as permissões alteradas. Para o manuseio de comandos, o OWAReaper pode recuperar instruções criptografadas de mensagens de commit do GitHub ou analisar comandos entregues por e-mail. Ele também pode usar tráfego HTTPS roteado por serviços de entrega de imagens, com tunelamento DNS como método de fallback para enviar informações roubadas.
Impacto e setores afetados
A campanha visou órgãos governamentais e organizações nos setores de telecomunicações, finanças, hospitalidade e aeroespacial nos Estados Unidos e na Europa. O impacto é significativo porque o comprometimento de contas de e-mail corporativas frequentemente serve como ponto de entrada para ataques mais amplos à rede. A persistência do OWAReaper no lado do servidor significa que a remoção do malware do endpoint do usuário não é suficiente para garantir a segurança.
Medidas de mitigação recomendadas
A resposta mais importante é instalar as atualizações relevantes do Exchange e manter proteções compensatórias onde necessário. As equipes de segurança devem revogar e auditar tokens de Exchange Web Services para add-ins afetados, remover permissões impróprias de pastas de usuário padrão, limpar o armazenamento do navegador do Outlook afetado e monitorar ou bloquear conexões com infraestrutura de comando e controle conhecida. A Microsoft emitiu atualizações permanentes para versões suportadas do Exchange afetadas, e a CISA instou as organizações a aplicarem atualizações e mitigações disponíveis rapidamente.
Perguntas frequentes
Como saber se fui afetado? Verifique os logs do Exchange por scripts suspeitos, alterações incomuns de permissão e sessões de webmail anômalas. O patch resolve tudo? Sim, as atualizações da Microsoft corrigem a vulnerabilidade, mas a limpeza do armazenamento do navegador e a auditoria de permissões são necessárias para remover a persistência do OWAReaper.
Indicadores de comprometimento (IoCs)
Os indicadores de comprometimento incluem domínios como asecdns[.]com, acocdn[.]com, dnsrecursive[.]eu e tdndns[.]com, além de hashes SHA-256 específicos para o corpo do e-mail HTML contendo o payload. Administradores devem monitorar tráfego de rede para esses domínios e verificar logs de acesso do Exchange por atividades incomuns.