E-Mail öffnen reicht: Russische Hacker attackieren Outlook-Nutzer
Sicherheitsforscher von Proofpoint haben eine laufende Angriffskampagne einer russischen Hackergruppe namens Laundry Bear aufgedeckt, auch bekannt als TA488 oder Void Blizzard. Laut dem Blogbeitrag der Forscher(öffnet im neuen Fenster) nutzen die Angreifer eine Sicherheitslücke aus, um bei Behörden und Organisationen in den USA und Europa über Outlook Web Access (OWA) Schadcode einzuschleusen und vertrauliche Daten abzugreifen.
Bei der Sicherheitslücke handelt es sich um CVE-2026-42897(öffnet im neuen Fenster). Ursache ist ein mögliches Cross-Site-Scripting (XSS) in Microsoft Exchange Server. Einen ersten Patch stellte Microsoft schon im Mai bereit. Seitdem besserte der Konzern aber mehrfach nach und empfiehlt zum Schließen der Lücke(öffnet im neuen Fenster) inzwischen die Installation der Juli-Updates.
Laut Proofpoint ermöglicht CVE-2026-42897 eine Kompromittierung durch den Einsatz eines sogenannten Half-Click-Exploits. Anvisierte Nutzer müssen in OWA lediglich eine von den Angreifern verschickte E-Mail öffnen. Dadurch kommt es unmittelbar zur Schadcodeausführung. Ein weiterer Klick auf einen Anhang oder einen Link innerhalb der Mail ist nicht erforderlich.
Datenklau im Browser
Wird eine entsprechende E-Mail geöffnet, setzt der Exploit nach Angaben der Forscher eine Infektionskette in Gang, die eine Javascript-basierte Malware namens OWAReaper einschleust. Damit erlangen die Angreifer einen persistenten Zugang zur OWA-Umgebung der Zielnutzer. OWAReaper läuft dabei ausschließlich im Webbrowser und hinterlässt keinerlei Spuren auf dem Hostsystem.
Laut Proofpoint ist die Malware dadurch in der Lage, "Browser-Neustarts, die Rotation von Anmeldedaten und eine vollständige Neuinstallation des Systems auf dem Gerät des Opfers zu überstehen".
Einer der Proofpoint-Forscher erklärte auf Bluesky(öffnet im neuen Fenster), es handle sich bei OWAReaper um "eines der coolsten Malware-Implantate, die wir je untersucht haben". Mechanismen zur Datenexfiltration sind dem Bericht zufolge redundant ausgelegt und bedienen sich gleich mehrerer Kommunikationskanäle und Protokolle.
Auch europäische Ziele betroffen
Erste Spuren der Angriffskampagne reichen zurück bis März 2026. Da CVE-2026-42897 erst im Mai gepatcht wurde, nehmen die Proofpoint-Forscher an, dass Laundry Bear die Schwachstelle schon vorher als Zero-Day-Lücke ausgenutzt hat. Admins sollten daher nicht nur sicherstellen, dass ihre Exchange-Server gepatcht sind, sondern ihre Systeme auch auf eine möglicherweise schon erfolgte Kompromittierung untersuchen.
Als Angriffsziele der Hackergruppe nennt Proofpoint US-amerikanische und europäische Behörden sowie Unternehmen aus den Bereichen Telekommunikation, Finanzen, Gastgewerbe sowie Luft- und Raumfahrt.
Erst am 23. Juli gaben Sicherheitsbehörden mehrerer Länder eine gemeinsame Warnung vor Angriffen von Laundry Bear heraus(öffnet im neuen Fenster). Dabei ging es primär um die Ausnutzung einer Sicherheitslücke in der Kollaborationssoftware Zimbra (CVE-2025-66376(öffnet im neuen Fenster)). Auch damit griff die Gruppe anhand eines Half-Click-Exploits auf E-Mail-Postfächer anvisierter Nutzer zu, wie Proofpoint dazu erklärte(öffnet im neuen Fenster).
- Anzeige Hier geht es zum Microsoft Exchange Server 2019 Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.