Hacker Rusia Eksploitasi Zero-Day Exchange OWA untuk Mempertahankan Akses ke Kotak Email Korban

Kelompok peretas yang didukung pemerintah Rusia, Laundry Bear atau dikenal juga sebagai Void Blizzard, dilaporkan mengeksploitasi zero-day pada Microsoft Exchange Outlook Web Access (OWA) untuk memperoleh dan mempertahankan akses jangka panjang ke kotak email korban.

Menurut laporan perusahaan keamanan Proofpoint, kampanye ini menargetkan berbagai organisasi di Amerika Serikat dan Eropa, termasuk instansi pemerintah, perusahaan telekomunikasi, sektor keuangan, perhotelan, hingga industri dirgantara.

Eksploitasi Zero-Day Melalui Email

Serangan memanfaatkan kerentanan CVE-2026-42897, yaitu celah Cross-Site Scripting (XSS) pada Outlook Web Access.

Kerentanan tersebut memungkinkan penyerang menjalankan kode JavaScript berbahaya di browser korban hanya dengan membuat korban membuka email yang telah dirancang secara khusus.

Proofpoint menyebut teknik ini sebagai “half-click exploit”, karena pengguna tidak perlu mengklik tautan ataupun membuka lampiran. Membuka email di panel baca OWA sudah cukup untuk memicu eksploitasi.

Berasal dari Sanitasi HTML yang Lemah

Menurut Microsoft, penyebab utama kerentanan ini adalah proses sanitasi HTML pada isi email yang tidak dilakukan dengan benar.

Akibatnya, penyerang dapat menyisipkan kode HTML dan JavaScript berbahaya yang akan dijalankan ketika email dibuka.

Proofpoint mengungkap bahwa Laundry Bear telah membangun infrastruktur serangan sejak Maret 2026, hampir dua bulan sebelum Microsoft menerbitkan peringatan keamanan mengenai kerentanan tersebut.

Menggunakan Email Bertema Bisnis

Untuk meningkatkan peluang korban membuka email, pelaku menggunakan topik yang tampak wajar dan relevan dengan target, seperti:

• Analisis rantai pasok.
• Laporan penelitian.
• Indikator kinerja sektor pariwisata.
• Informasi pasar energi.

Menariknya, email tidak menyertakan tautan maupun lampiran mencurigakan sehingga lebih sulit dikenali sebagai upaya phishing.

Payload berbahaya disisipkan langsung ke dalam isi email melalui kode HTML yang telah dimodifikasi.

Malware OWAReaper Berjalan di Panel Baca

Eksploitasi tersebut menginstal backdoor baru yang diberi nama OWAReaper.

Proofpoint menyebut malware ini sebagai backdoor paling canggih yang pernah ditemukan dalam serangan half-click exploit terhadap platform webmail.

Seluruh proses dijalankan langsung di panel baca Outlook Web Access tanpa memerlukan instalasi perangkat lunak tambahan.

Saat aktif, OWAReaper akan:

• Menghapus kode eksploitasi dari email agar jejak serangan tidak terlihat.
• Menonaktifkan menu klik kanan dan berbagai pop-up pada OWA.
• Mengumpulkan alamat email, nama pengguna, dan konfigurasi Outlook korban.
• Mencoba mencuri kredensial dengan memanfaatkan fitur autofill pada browser.

Tetap Bertahan Meski Password Diganti

Salah satu kemampuan paling berbahaya dari OWAReaper adalah mekanisme persistensinya.

Proofpoint menjelaskan bahwa malware memeriksa add-in Outlook yang memiliki izin ReadWriteMailbox, kemudian memanfaatkannya untuk memperoleh OAuth Token.

Setelah itu, malware memberikan hak akses Owner terhadap seluruh folder email kepada akun bawaan Default, sehingga pelaku tetap dapat mengakses kotak surat menggunakan akun lain yang telah diautentikasi di dalam organisasi.

Karena perubahan izin dilakukan langsung pada sisi server Exchange, tindakan seperti:

• Mengganti password.
• Merotasi kredensial.
• Menginstal ulang komputer korban.

tidak otomatis menghapus akses yang telah diperoleh penyerang.

Memanfaatkan Cache Offline

OWAReaper juga memiliki mekanisme persistensi kedua.

Malware menyisipkan iframe berbahaya ke dalam email yang tersimpan pada IndexedDB, yaitu basis data lokal yang digunakan Outlook Web Access untuk mode offline.

Akibatnya, setiap kali korban membuka email yang telah terinfeksi dari cache, kode berbahaya akan kembali dijalankan.

Memiliki Beragam Kanal Komunikasi

Untuk menerima perintah dari operator, OWAReaper menggunakan dua metode komunikasi berbeda.

Salah satunya memanfaatkan GitHub Commit Search API, di mana malware secara berkala mencari commit yang berisi pesan terenkripsi sesuai format tertentu.

Selain itu, malware juga dapat membaca email yang dikirim ke kotak surat korban dan mengekstrak instruksi yang telah dikodekan dalam format khusus.

Data Dicuri Melalui Beberapa Jalur

Untuk mengirimkan data hasil pencurian, OWAReaper menggunakan beberapa mekanisme.

Metode utama memanfaatkan koneksi HTTPS dengan jalur URL yang telah dienkripsi menggunakan AES-CTR dan diteruskan melalui domain Content Delivery Network (CDN) agar tampak sebagai lalu lintas normal.

Apabila metode tersebut gagal, malware dapat langsung mengirim data ke server penyerang.

Sebagai cadangan terakhir, malware juga mendukung eksfiltrasi melalui DNS, dengan data terlebih dahulu dienkripsi lalu dikodekan menggunakan Base32.

Dikaitkan dengan Laundry Bear

Proofpoint mengaitkan kampanye ini dengan kelompok Laundry Bear (TA488/Void Blizzard) berdasarkan berbagai kesamaan teknik dengan malware ZimReaper yang sebelumnya digunakan untuk menyerang server email Zimbra.

Kedua kampanye sama-sama memanfaatkan eksploitasi XSS pada platform webmail guna menjalankan operasi spionase siber dan memperoleh akses jangka panjang terhadap komunikasi email korban.

Proofpoint juga telah mempublikasikan sejumlah Indicator of Compromise (IoC) yang mencakup domain yang digunakan pelaku serta contoh payload HTML yang memanfaatkan CVE-2026-42897 untuk mengirimkan malware OWAReaper.