Il 22 luglio 2026, un giorno prima della pubblicazione di un report congiunto Proofpoint-NSA sulle attività del gruppo russo TA488 (finanziato dallo Stato e noto anche come Laundry Bear o Void Blizzard), lo stesso attore ha avviato una nuova campagna di attacco che sfrutta la CVE-2026-42897, una vulnerabilità di cross-site scripting (XSS) in Outlook Web Access (OWA).

Lo sfruttamento della vulnerabilità consente l’esecuzione di codice JavaScript arbitrario nel contesto del browser quando gli utenti aprono un’e-mail appositamente manipolata mediante l’applicazione Web di Outlook.

L’obiettivo è diffondere via e-mail una sofisticata backdoor denominata OWAReaper.

L’attacco sta prendendo di mira diverse organizzazioni, tra cui enti governativi negli Stati Uniti e in Europa, ma anche aziende nei settori delle telecomunicazioni, finanziario, alberghiero e aerospaziale: un mix coerente con un’operazione di spionaggio piuttosto che con una campagna finanziariamente motivata.

Colpisce il volume e l’ampiezza del targeting, superiori agli standard abituali del gruppo. Un’ipotesi plausibile è che TA488 abbia deliberatamente ampliato la superficie della campagna per confondersi con il traffico spam di massa, riducendo la probabilità che i singoli messaggi vengano isolati e analizzati dai team di sicurezza.

Un’email, nessun clic e un accesso che resta per sempre

Il tempismo, inoltre, non è casuale: TA488 ha scelto di anticipare la disclosure pubblica della campagna di attacco con un’operazione che i ricercatori di Proofpoint descrivono come un salto di qualità nelle capacità del gruppo.

Non serve cliccare su un link o aprire un allegato: è sufficiente che il messaggio venga semplicemente visualizzato nella webmail di Exchange perché scatti l’infezione.

È il modello di attacco che gli analisti chiamano “half-click”: il rischio si materializza nell’istante stesso in cui l’utente apre l’email per leggerla, un gesto che nessuna policy aziendale può realisticamente vietare.

CVE-2026-42897: quando Outlook non sanifica l’HTML

Alla base della campagna c’è un difetto di gestione dell’HTML nel corpo dei messaggi di OWA.

Il server non sanifica correttamente il markup, e questo consente l’esecuzione di JavaScript arbitrario nel contesto del browser della vittima nel momento in cui l’email viene aperta.

Microsoft ha rilasciato una patch out-of-band per la falla a metà maggio 2026, ma le prime tracce dell’infrastruttura usata da TA488 risalgono a marzo, circa due mesi prima: è quindi plausibile che il gruppo abbia sfruttato la vulnerabilità come zero-day per settimane prima che venisse resa pubblica.

Come funziona l’exploit

Il meccanismo tecnico è tanto semplice quanto efficace.

TA488 nasconde un frammento di codice JavaScript codificato in Base64 all’interno degli URL delle icone social presenti nel corpo dell’email, oltre il carattere “#”.

Quando il messaggio viene renderizzato, un piccolo loader ricostruisce ed esegue il payload nascosto, sfruttando la mancata sanificazione dell’HTML per iniettarlo nella sessione autenticata dell’utente.

Le esche sono deliberatamente anonime e prive di qualsiasi invito all’azione: analisi di filiera, aggiornamenti su ricerche di mercato, indicatori di settori come turismo, gas o semiconduttori. Contenuti pensati per essere sfogliati distrattamente e archiviati come rumore di fondo, non per generare sospetto.

OWAReaper: una backdoor progettata per non farsi mai stanare

Il payload finale è un impianto che Proofpoint ha battezzato OWAReaper, descritto come la backdoor più sofisticata tra quelle distribuite finora tramite exploit half-click. È un’evoluzione diretta di ZimReaper, il malware già osservato nelle precedenti campagne del gruppo contro i server Zimbra tramite la CVE-2025-66376.

OWAReaper opera interamente all’interno del reading pane di OWA, senza lasciare file sull’endpoint.

Una volta eseguito, il malware OWAReaper riscrive l’e-mail originale sul server Exchange per rimuovere le tracce dell’exploit, disattiva temporaneamente popup e tasto destro del mouse e raccoglie indirizzo e-mail, nome utente e impostazioni della vittima.

Per sottrarre le credenziali, crea elementi invisibili nel DOM della pagina e attende che sia il browser stesso, tramite l’autocompilazione, a popolarli con le password salvate.

Una persistenza che sopravvive a tutto

L’aspetto più critico riguarda la capacità di persistenza. OWAReaper verifica la presenza di add-in di Outlook con permessi ReadWriteMailbox e li sfrutta per richiedere token OAuth tramite l’operazione GetClientAccessToken.

Con questi token, il malware invoca una chiamata UpdateFolder che assegna permessi di livello Owner all’utenza “Default”, un alias a bassi privilegi presente di default in ogni tenant Exchange, su ogni cartella della casella compromessa.

Il risultato è che qualunque account autenticato nel tenant può accedere alla mailbox violata. Poiché questa configurazione vive lato server, né il cambio password né il reimaging completo del dispositivo revocano l’accesso: serve un intervento esplicito sui permessi Exchange.

A questo si somma un secondo meccanismo: un iframe malevolo inserito nella cache offline IndexedDB di OWA, che rilancia l’infezione ogni volta che la vittima riapre un’email compromessa dalla cache locale.

Due canali di comando, due strade per i dati

Anche l’infrastruttura di comando e controllo riflette la stessa filosofia di ridondanza e stealth.

OWAReaper può interrogare l’API di ricerca commit di GitHub ogni 24 ore per recuperare istruzioni cifrate abbinate all’indirizzo email del bersaglio, oppure analizzare le email in arrivo cercando la stessa struttura codificata nel corpo del messaggio salvato in IndexedDB.

Per l’esfiltrazione, il canale primario sfrutta richieste HTTPS con metadati cifrati AES-CTR incorporati nei percorsi URI, mascherati da normali richieste a CDN di immagini legittime; in caso di indisponibilità, subentrano un fallback diretto verso il server dell’attaccante e, in ultima istanza, un tunnel DNS.

Cosa devono fare oggi CISO e IT manager

Al di là dell’analisi tecnica, questo attacco pone un problema molto concreto: il perimetro di rischio si sposta dal comportamento dell’utente alla superficie stessa dell’applicazione webmail, su cui l’organizzazione ha un controllo diretto limitato.

Alcune priorità operative:

• Verificare lo stato di patching di Exchange OWA e applicare senza ritardi gli aggiornamenti out-of-band di Microsoft relativi a CVE-2026-42897, anche sugli ambienti considerati secondari.
• Rivedere i permessi degli add-in di Outlook, in particolare quelli con diritti ReadWriteMailbox, il vettore concreto sfruttato da OWAReaper per la persistenza lato server.
• Monitorare le assegnazioni anomale di permessi Owner sulle cartelle di posta, in particolare verso l’utenza “Default”: è uno degli indicatori più specifici di questa tecnica.
• Non fidarsi del solo reset delle credenziali o del reimaging: se la persistenza è a livello di permessi Exchange, la bonifica richiede una verifica puntuale lato server.
• Integrare gli IoC pubblicati da Proofpoint (domini C2 e pattern del payload) nei sistemi di detection, ricordando che l’infrastruttura più datata è attiva da marzo 2026.
• Aggiornare la formazione degli utenti: in questo scenario il solo atto di apertura dell’email innesca la catena di compromissione, il che rende meno efficace il consueto “non cliccare sui link sospetti”.

Il quadro che emerge

TA488 conferma una traiettoria già visibile con le precedenti campagne contro Zimbra: attacchi mirati alle piattaforme webmail, exploit che richiedono un’interazione minima da parte della vittima, impianti costruiti per resistere alle contromisure di incident response più comuni.

È un modello che sposta parte della responsabilità difensiva dagli utenti finali ai team che gestiscono la configurazione lato server delle infrastrutture di posta, un’area spesso meno presidiata rispetto agli endpoint.

Senza visibilità sui permessi lato server delle mailbox, anche una risposta all’incidente tecnicamente corretta rischia di lasciare la porta aperta.