Por Canuto  

El grupo ruso TA488 explota una vulnerabilidad crítica de Microsoft Exchange para instalar OWAReaper, una puerta trasera capaz de robar credenciales y tokens desde Outlook Web Access.

***

  • La vulnerabilidad CVE-2026-42897 permite ejecutar JavaScript malicioso cuando la víctima abre un correo en Outlook Web Access.
  • Proofpoint atribuye la campaña a TA488, también conocido como Laundry Bear y Void Blizzard, un grupo vinculado al Kremlin.
  • OWAReaper puede persistir en el servidor de Exchange, por lo que cambiar contraseñas o reinstalar el equipo no basta para expulsarlo.

 

Hackers estatales rusos están aprovechando una vulnerabilidad crítica del servidor Exchange de Microsoft para entrar sin autorización en máquinas que todavía no reciben la actualización correspondiente. Los atacantes buscan credenciales y otra información confidencial, según investigadores de seguridad.

La campaña procede de TA488, el nombre utilizado para rastrear a un grupo que trabaja en nombre del Kremlin. Proofpoint identificó la actividad y describió una cadena de infección más avanzada que otras operaciones recientes atribuidas al mismo actor.

El grupo también aparece bajo los nombres Laundry Bear y Void Blizzard. La Agencia de Seguridad Nacional y Proofpoint advirtieron la semana pasada que esos operadores habían realizado ataques similares contra una vulnerabilidad de día cero en un servicio de correo electrónico de Zimbra.

La nueva operación eleva la preocupación porque la víctima no necesita hacer clic en un enlace ni descargar un archivo. Basta con abrir un mensaje enviado a una cuenta de Outlook Web Access, conocida como OWA, para que el código malicioso pueda activarse.

Este tipo de intrusión suele recibir el nombre de ataque de “medio clic”. La expresión describe una técnica en la que una acción aparentemente rutinaria, como abrir un correo, desencadena la explotación sin exigir una interacción adicional del usuario.

El alcance de CVE-2026-42897

Microsoft rastrea el problema como CVE-2026-42897 y lo clasificó con la máxima gravedad. La vulnerabilidad pertenece a la categoría de scripting entre sitios, conocida habitualmente por sus siglas XSS.

El fallo surge porque Exchange no filtra de manera adecuada el HTML incrustado en un correo electrónico. Esa deficiencia permite que un atacante introduzca JavaScript malicioso dentro del mensaje y lo ejecute en el contexto de Outlook Web Access.

Microsoft publicó consejos de mitigación en mayo y distribuyó un parche en julio. La compañía también puso a disposición un servicio de mitigación de emergencia para Exchange, aunque todavía no está claro si esas medidas limpian automáticamente los equipos comprometidos.

Proofpoint indicó que TA488 pudo haber utilizado la vulnerabilidad como un día cero antes de que existiera una corrección pública. Esa posibilidad sugiere que el grupo obtuvo acceso a la técnica mientras organizaciones afectadas aún dependían de sistemas vulnerables.

La explotación no termina con la ejecución inicial del código. El JavaScript instala una extensión de navegador personalizada que entrega a los atacantes acceso persistente a las cuentas OWA de las víctimas.

OWAReaper mantiene el acceso dentro de Outlook

Proofpoint bautizó como OWAReaper al implante basado en JavaScript. Los investigadores lo describieron como una herramienta diseñada específicamente para mantener el control dentro de Outlook Web Access.

El implante se ejecuta completamente en el panel de lectura de OWA. Una vez activo, utiliza las interfaces de programación de Outlook para reescribir el correo en el servidor de Exchange y borrar el contenido que permitió la explotación.

Al mismo tiempo, OWAReaper desactiva las ventanas emergentes de OWA y la función de clic derecho mientras permanece en ejecución. Esas acciones pueden dificultar que el usuario detecte comportamientos anómalos en la interfaz.

El código crea una clave de sesión exclusiva para cada objetivo. Después recopila la dirección de correo electrónico, el nombre de usuario y la configuración de Outlook asociada con la cuenta comprometida.

La puerta trasera también crea dos elementos de entrada invisibles en el modelo de objetos del documento, conocido como DOM. Luego espera que el autocompletado del navegador introduzca el nombre de usuario y la contraseña guardados para OWA.

De esa manera, el navegador puede entregar credenciales que el usuario no escribió durante la sesión. La técnica convierte una función pensada para facilitar el acceso en una fuente adicional de información para el atacante.

Persistencia y robo de tokens

OWAReaper almacena una versión cifrada de sí mismo junto con un envoltorio de descifrado en el almacenamiento local del navegador. Para ocultar esos datos, utiliza los campos de configuración de la clave PageDataPayload.OwaUserDefaultSettings.

La clave no parece sospechosa por sí sola, porque forma parte de una estructura legítima que OWA utiliza durante la representación de la página. Outlook evalúa OwaFrontendSyncState como parte de su flujo normal de restauración de sincronización.

Cada vez que el usuario abre una pestaña de OWA, el proceso habitual de sincronización puede ejecutar automáticamente el implante. Así, el malware conserva un mecanismo de reactivación ligado al funcionamiento normal del servicio.

En muchos casos, la puerta trasera también puede robar tokens de OAuth. A partir de esos tokens, los atacantes podrían obtener acceso completo a la bandeja de entrada de cualquier usuario autenticado en la misma red.

La persistencia complica la respuesta porque el acceso permanece en el lado del servidor. Proofpoint señaló que una organización debe eliminarlo deliberadamente desde Exchange para expulsar al actor.

El cambio de credenciales no basta para resolver el problema. Tampoco garantiza la limpieza una reinstalación completa del dispositivo del usuario atacado, ya que el componente persistente puede continuar alojado en el servidor.

Qué deben revisar las organizaciones afectadas

Proofpoint recomendó revocar y auditar los tokens de Exchange Web Services. También aconsejó buscar complementos no autorizados que pudieran estar vinculados con la actividad de la puerta trasera.

La empresa pidió eliminar los permisos de carpeta concedidos a usuarios predeterminados. Esa medida busca reducir accesos innecesarios que podrían facilitar la lectura o manipulación de información dentro de Exchange.

Los equipos de seguridad también deben limpiar el índice de OWA y revisar la clave de almacenamiento local PageDataPayload.owaUserDefaultSettings. La recomendación apunta directamente a los lugares donde OWAReaper guarda sus componentes.

Además, Proofpoint sugirió bloquear o generar alertas cuando las máquinas establezcan conexiones salientes con servidores de comando y control asociados con la campaña. Entre los dominios señalados están asecdns[.]com, acocdn[.]com, dnsrecursive[.]eu y tdndns[.]com.

La aplicación del parche de julio constituye un paso esencial, pero no confirma por sí sola la eliminación de la intrusión. Las organizaciones deben investigar posibles accesos previos y comprobar que los componentes persistentes ya no existan en sus servidores.

La situación muestra por qué una actualización no siempre equivale a una remediación completa. Cuando el atacante instala mecanismos dentro del servidor y aprovecha funciones legítimas del navegador, la defensa exige revisar credenciales, sesiones, almacenamiento local, extensiones y conexiones de red.

Una mejora en las capacidades de TA488

Los investigadores describieron la operación como una señal de evolución técnica dentro de TA488. El grupo estaría duplicando el uso de exploits de medio clic, pero con mecanismos de carga, técnicas y malware considerablemente mejorados.

La cadena que termina en OWAReaper representa un cambio importante frente a una intrusión que solo roba información durante una sesión. El implante busca permanecer activo y aprovechar cada nueva apertura de Outlook Web Access.

Proofpoint calificó a OWAReaper como la puerta trasera más sofisticada que había visto entregar mediante una explotación de medio clic. La valoración se relaciona con su capacidad para ocultar el código, sobrevivir en el lado del servidor y reutilizar procesos normales de OWA.

La atribución conecta esta campaña con una operación rusa más amplia contra servicios de correo electrónico. La advertencia previa sobre Zimbra y el nuevo ataque contra Exchange muestran el interés del grupo por plataformas que concentran comunicaciones y credenciales corporativas.

El caso también recuerda que el correo electrónico sigue siendo un objetivo estratégico para los actores estatales. Una cuenta comprometida puede ofrecer acceso a conversaciones, archivos, configuraciones y tokens sin que el atacante necesite controlar inicialmente todo el dispositivo.

Para los usuarios, abrir un mensaje continúa pareciendo una acción inofensiva. Para los administradores, sin embargo, la campaña demuestra que una interacción mínima puede activar una intrusión compleja y persistente dentro de una infraestructura crítica.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA.

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados