OWAReaperインプラントはサーバー側でメールボックスの権限を確立し、パスワード変更や端末の再構築後もその権限が残存します。
ロシアと関係の深い脅威アクターが、Microsoft ExchangeのOutlook Web Accessを標的とした「半クリック」型のエクスプロイトを利用し、受信者が細工されたメールを開くだけでブラウザベースのバックドアを仕込む攻撃を行っていたことが分かりました。
サイバーセキュリティ企業Proofpointのレポートによると、このキャンペーンは7月22日に始まり、Void BlizzardやLaundry Bearとしても知られるTA488によって実行されました。
攻撃は米国および欧州の政府機関に加え、通信、金融、宿泊、航空宇宙の各分野の企業を標的にしていました。Proofpointは標的となった組織名や、どの程度の攻撃が侵害の成功につながったかについては明らかにしていません。
攻撃者が悪用したのは、メール本文中のHTMLのサニタイズ不備に起因するクロスサイトスクリプティングの脆弱性であるCVE-2026-42897です。受信者はリンクをクリックしたり添付ファイルを開いたりする必要はなく、OWA上で細工されたメッセージを表示するだけで、悪意のあるJavaScriptがブラウザ内で実行される仕組みでした。
Microsoftはこれまでに、この脆弱性がExchange Server 2016および2019の全アップデートレベル、およびExchange Server Subscription Editionに影響することを明らかにしており、Exchange Onlineは影響を受けないとしています。同社は5月14日にこの脆弱性を公表し、6月にコード修正をリリースする前に緊急の緩和策を講じていました。Microsoftはその後、2026年7月のExchangeセキュリティアップデートを適用した顧客は、以前の緩和策を解除できるようになったと発表しています。
Proofpointの調査によると、このキャンペーンに関連するインフラは、Microsoftがこの脆弱性を公表する前の3月に構築されていたことが判明しました。同社は、この時系列から見てTA488がこの脆弱性をゼロデイとして悪用していた可能性は十分にあるとしていますが、実際にそうした悪用が行われたかどうかは確認していません。
Proofpointは「TA488は、標的となるユーザーに対して行動喚起を伴わない、意図的に曖昧なメッセージの誘い文句を使用していた」と述べています。メッセージはサプライチェーンや市況指標に関する情報など、日常的な情報提供の体裁を取っていました。OWA上でこれらのメッセージを開くと、これまで確認されていなかったJavaScriptインプラント「OWAReaper」が読み取りペイン内で起動する仕組みになっていました。
OWAReaperは実行後、Exchangeサーバー上に保存されたメッセージからエクスプロイトコードを削除し、ユーザーや調査担当者に残る痕跡を減らします。また、アカウント情報を収集し、ブラウザの自動入力機能を通じて入力された認証情報の窃取を試みることも可能です。
OWAReaperは、ReadWriteMailbox権限を持つOutlookアドインを見つけると、そのアドインを利用してOAuthトークンを取得し、Exchangeに組み込まれた「Default」IDに対してオーナーレベルのアクセス権を付与することができます。これにより、組織内の別の認証済みアカウントを制御している攻撃者が、被害者のメールフォルダへの継続的なアクセスを維持できる恐れがあります。
これらの権限はExchangeサーバー上に保存されているため、被害者のパスワードを変更したり、エンドポイントを再構築したりしても削除されません。
メールボックス内での永続化
OWAReaperは、攻撃者がExchange自体の内部で永続化を確立できるため、インシデント対応の範囲を被害端末の外にまで広げてしまうと、IDC Asia Pacific Cybersecurity ServicesのシニアリサーチマネージャーであるSakshi Grover氏は指摘します。
「最も重要な変化は、攻撃者がどこで永続化を確立するかという点です」と同氏は述べています。
組織は今回の侵害を、単なる感染端末やパスワード窃取の問題としてではなく、サーバー側のIDに関するインシデントとして扱うべきだと、Confidisの創業者兼CEOであるKeith Prabhu氏は述べています。
「通常のインシデント対応では、パスワードのリセット、トークンの失効、エンドポイントの再イメージ化を行うのが一般的です」とPrabhu氏は言います。「しかし、それだけではもはや十分ではない可能性があります」
検知の死角
エンドポイント上のファイルやプロセスに焦点を当てたセキュリティツールでは、OWAのブラウザセッション内で動作するインプラントを検知できない場合があると、Prabhu氏は指摘します。
「配信されるメールには明白な悪意のある添付ファイルや、従来型のフィッシングリンクが含まれていないため、従来型のメールセキュリティ対策も機能しづらい可能性があります」とGrover氏は述べています。
OWAReaperは認証済みのOWAセッション内で動作し、正規のメールボックス機能を悪用できるため、個々のイベントを単独で調べても悪意あるものとは見なされない場合があります。
この脅威を検知するには、複数のレイヤーにまたがる相関分析が必要だと、Prabhu氏は述べています。同氏は、まず疑わしいOWAメッセージを開いたユーザーを起点とし、その後のメールボックス権限の変更、アドインの動作、OAuthイベントを確認することを推奨しています。調査担当者は、ブラウザのストレージに残る痕跡や、関連するネットワークのメタデータについても調べるべきだとしています。
