Ein halber Klick. Mehr braucht es nicht. Sicherheitsforscher von Proofpoint haben eine Angriffswelle aufgedeckt, bei der das bloße Öffnen einer E-Mail im Outlook Web Access ausreicht — kein Link, kein Anhang, keine Nachfrage. Dahinter steckt die russische Gruppe TA488, auch bekannt als Void Blizzard oder Laundry Bear.
SCHOCK: Der Angriff läuft seit dem 22. Juli
Die Kampagne missbraucht CVE-2026-42897, eine Cross-Site-Scripting-Lücke im Outlook Web Access. Über die Lücke selbst haben wir bereits im Juni berichtet — neu ist jetzt, WER sie nutzt und WOMIT.
Im Visier: Regierungsstellen in den USA und Europa sowie Firmen aus Telekommunikation, Finanzwesen, Hotellerie und Luftfahrt. Die Köder-Mails wirken absichtlich unspektakulär — Routine-Informationen zu Lieferketten oder Marktdaten, ohne jede Aufforderung an den Empfänger. Genau das ist der Trick: Man soll die Mail einfach nur anschauen.
Warum HALBER Klick?
Bei klassischem Phishing musst du etwas tun: klicken, öffnen, eingeben. Hier läuft der Schadcode bereits, sobald die Nachricht im Lesebereich von OWA angezeigt wird. Proofpoint nennt das treffend Half-Click-Exploit. Für Nutzer bedeutet das: Die übliche Regel nicht auf verdächtige Links klicken greift hier schlicht nicht.
UNHEIMLICH: OWAReaper räumt hinter sich auf
Der eingeschleuste Schädling heißt OWAReaper und war bislang unbekannt. Es handelt sich um ein JavaScript-Implantat, das direkt im Lesebereich läuft. Und es ist verdammt geschickt gebaut:
- Nach der Ausführung löscht es den Schadcode aus der auf dem Exchange-Server gespeicherten Nachricht — Ermittler finden hinterher weniger Spuren.
- Es sammelt Kontodaten und versucht, per Browser-Autofill eingetragene Zugangsdaten abzugreifen.
- Findet es ein Outlook-Add-in mit weitreichenden Postfach-Rechten, holt es sich darüber ein Zugangs-Token — und damit dauerhaften Zugriff auf Ebene der eingebauten Standard-Identität.
Das ist der eigentlich unangenehme Teil: Der Zugriff überlebt einen Passwortwechsel. Wer nur das Kennwort ändert, hat den Angreifer nicht draussen.
So prüfst du deinen Server
- Patchstand kontrollieren: Microsoft hatte die Lücke im Mai offengelegt, eine Notfall-Maßnahme nachgeschoben und im Juni einen Code-Fix geliefert. Wer das Juli-Sicherheitsupdate eingespielt hat, darf die alte Notfall-Maßnahme entfernen. Alles davor gilt als angreifbar.
- Add-ins durchsehen: Prüfe alle Outlook-Add-ins mit Schreib- und Leserechten aufs Postfach. Was niemand braucht, fliegt raus.
- OAuth-Berechtigungen widerrufen: Ungewöhnliche Zugriffs-Token in der Exchange-Verwaltung zurückziehen.
- Exchange Online? Dann bist du nicht betroffen — die Lücke trifft nur die Server-Varianten 2016, 2019 und die Subscription Edition.
EXTRA-TIPP: Webmail bleibt die Schwachstelle
Der Trend ist unübersehbar. Erst Roundcube, dann Zimbra, vergangene Woche ein CSS-Angriff quer durch alle großen Webmailer — und jetzt Exchange. Webmail-Oberflächen sind Programme im Browser, und die haben Fehler. Ein eigener Mail-Client ohne aktives Skript-Rendering ist keine schlechte zweite Verteidigungslinie.
FAZIT: Handwerk auf neuem Niveau
Proofpoint schreibt, TA488 setze verstärkt auf Half-Click-Angriffe — mit deutlich verbesserten Ladewegen, Techniken und Schadprogrammen. Uebersetzt: Die Gruppe wird besser. Dein Patchstand sollte es auch.
Häufige Fragen
Welche Versionen sind betroffen?
Wie merke ich, ob mein Postfach kompromittiert ist?
Wie behebe ich das Problem konkret?
Warum hilft die Regel keine Links anklicken hier nicht?
Gab es schon aktive Angriffe?
Quellen
- Proofpoint Threat Insight: Cleaning Out Inboxes — TA488 Comes for Outlook with Another Half-Click Exploit
- BleepingComputer: Russian hackers exploit Exchange OWA zero-day for long-term mailbox access
- CSO Online: Russian hackers turn Exchange flaw into half-click mailbox takeover
- Infosecurity Magazine: TA488 Returns With Persistent Outlook Web Access Attack