Russische Hacker nutzen Outlook-Lücke für Cyberangriffe

Kritische Sicherheitslücke in Outlook Web Access ermöglicht Zero-Click-Angriffe

IT-Sicherheitsforscher von Proofpoint haben eine besorgniserregende Entwicklung aufgedeckt: Russische Cyberkriminelle nutzen aktiv eine Schwachstelle in Microsoft Exchange aus, um weltweit Unternehmen und staatliche Einrichtungen anzugreifen. Besonders alarmierend: Das bloße Anzeigen einer präparierten E-Mail reicht bereits aus, um Systeme zu kompromittieren.

Als IT-Systemhaus aus Düsseldorf möchten wir Sie über diese akute Bedrohung informieren und aufzeigen, wie Sie Ihre Infrastruktur schützen können.

Die technischen Details der CVE-2026-42897-Schwachstelle

Bei der Sicherheitslücke handelt es sich um ein Cross-Site-Scripting-Problem (XSS) in Outlook Web Access (OWA). Die Schwachstelle entsteht durch unzureichende Filterung von Eingaben bei der Generierung von Webseiten. Mit einem CVSS-Score von 8.1 wird sie als hochriskant eingestuft.

Was macht diese Lücke so gefährlich?

• Keine Authentifizierung erforderlich: Angreifer können die Lücke aus dem Netz ohne Anmeldung ausnutzen
• Zero-Click-Exploit: Es genügt das Anzeigen der E-Mail in OWA – kein Klick notwendig
• JavaScript-Ausführung: Bösartiger Code wird automatisch im Browser-Kontext ausgeführt
• Spoofing-Angriffe möglich: Täuschung der Nutzer durch gefälschte Absenderinformationen

Betroffene Systeme

Folgende Microsoft Exchange-Versionen sind von der Schwachstelle betroffen:

• Exchange Server 2016
• Exchange Server 2019
• Exchange Server Subscription Edition (SE)

Die Angriffskampagne: TA488/Laundry Bear/Void Blizzard

Die hinter den Angriffen stehende Gruppierung ist unter verschiedenen Namen bekannt und zeigt eine bemerkenswerte Weiterentwicklung ihrer Fähigkeiten. Die Cyberkriminellen haben ihre Techniken deutlich verfeinert und setzen auf hochentwickelte Methoden.

Ziele der Angriffswelle

Die Kampagne richtet sich gezielt gegen:

• Staatliche Stellen in den USA und Europa
• Telekommunikationsunternehmen
• Finanzdienstleister
• Unternehmen im Gastgewerbe
• Luft- und Raumfahrtindustrie

OWAReaper: Eine neue Generation von Browser-Malware

Am Ende der Infektionskette steht eine bislang unbekannte JavaScript-Malware, die Proofpoint den Namen „OWAReaper“ gegeben hat. Diese Schadsoftware zeigt beunruhigende Eigenschaften:

Persistenz ohne Spuren

OWAReaper läuft direkt im Browser-Kontext von Outlook Web Access und hinterlässt keine Spuren auf dem Host-System. Das macht die Malware besonders schwer zu entdecken und zu entfernen.

Außergewöhnliche Überlebensfähigkeit

• Browser-Neustart: Die Malware bleibt auch nach einem Neustart des Browsers aktiv
• Passwortänderungen: Selbst das Ändern von Zugangsdaten hilft nicht
• Komplette Neuinstallation: Sogar eine vollständige Neuinstallation des Rechners entfernt die Malware nicht zuverlässig

Duale Kommunikationskanäle

OWAReaper nutzt zwei separate Command-and-Control-Kommunikationskanäle und zwei verschiedene Protokolle zum Ausleiten von Daten. Diese Redundanz macht die Malware besonders robust und schwer zu blockieren.

Zeitlinie: Möglicher Zero-Day-Missbrauch

Die Erkenntnisse von Proofpoint legen einen besorgniserregenden Zeitverlauf nahe:

• März 2025: Erste Spuren der Malwarekampagne werden entdeckt
• Mai 2025: Microsoft veröffentlicht ein ungeplantes Update und warnt vor aktiven Angriffen
• Zwei Monate Vorsprung: Die russischen Angreifer hatten vermutlich Zugriff auf eine Zero-Day-Lücke

Diese Zeitlinie deutet darauf hin, dass die Angreifer die Schwachstelle bereits ausgenutzt haben, bevor sie öffentlich bekannt wurde – ein klassisches Zero-Day-Szenario.

Sofortmaßnahmen zum Schutz Ihrer Exchange-Infrastruktur

Als IT-Verantwortlicher sollten Sie umgehend folgende Schritte einleiten:

1. Sicherheitsupdates installieren

Microsoft hat mittlerweile aktualisierte Softwarepakete bereitgestellt. Die Links zu den Updates finden Sie in der offiziellen Microsoft-Sicherheitsmitteilung zu CVE-2026-42897. Diese Updates sollten höchste Priorität haben.

2. Exchange-Web-Services-Token überprüfen

Untersuchen Sie alle EWS-Token für betroffene Add-ins und ziehen Sie kompromittierte Tokens zurück. Dies unterbricht potenzielle Angriffsketten.

3. Ordnerrechte kontrollieren

Überprüfen Sie die Exchange-Ordnerrechte für Standard-Nutzer und korrigieren Sie übermäßige Berechtigungen. Das Prinzip der minimalen Rechtevergabe ist hier entscheidend.

4. Spezifische Keys löschen

Auf betroffenen Endpunkten sollten folgende Keys gelöscht werden:

• IndexedDB von OWA (owa_offline_db)
• PageDataPayload.OwaUserDefaultSettings localStorage

5. Netzwerküberwachung implementieren

Blockieren Sie ausgehende Verbindungen zu bekannten Command-and-Control-Servern oder richten Sie zumindest Benachrichtigungen ein. Die entsprechenden IP-Adressen finden Sie im Bereich „Indicators“ der Proofpoint-Analyse.

Langfristige Sicherheitsstrategien für Exchange-Umgebungen

Diese Vorfälle zeigen einmal mehr, wie wichtig eine umfassende IT-Sicherheitsstrategie ist. Folgende Maßnahmen empfehlen wir für eine nachhaltige Absicherung:

Regelmäßiges Patch-Management

Implementieren Sie einen strukturierten Prozess für Sicherheitsupdates. Kritische Patches sollten innerhalb von 48 Stunden nach Veröffentlichung eingespielt werden – nach angemessener Testung in einer Staging-Umgebung.

Multi-Faktor-Authentifizierung

MFA ist kein Allheilmittel, bietet aber eine zusätzliche Sicherheitsebene. Selbst wenn Zugangsdaten kompromittiert werden, erschwert MFA den Zugriff erheblich.

Netzwerksegmentierung

Trennen Sie kritische Systeme wie Exchange-Server von weniger vertrauenswürdigen Netzwerkbereichen. Dies begrenzt die Ausbreitung von Angriffen.

Security Information and Event Management (SIEM)

Eine SIEM-Lösung ermöglicht die zentrale Überwachung und Analyse von Sicherheitsereignissen. Ungewöhnliche Aktivitäten können so frühzeitig erkannt werden.

Regelmäßige Security Audits

Lassen Sie Ihre IT-Infrastruktur regelmäßig von Experten überprüfen. Penetrationstests und Schwachstellenscans decken Sicherheitslücken auf, bevor Angreifer sie ausnutzen können.

Die Bedeutung für Unternehmen in der Region Düsseldorf und NRW

Gerade mittelständische Unternehmen in unserer Region nutzen häufig Exchange-Server als zentrale Kommunikationsplattform. Die aktuelle Bedrohungslage zeigt: Cyberkriminalität macht vor Unternehmensgröße oder Branche nicht halt.

Viele Geschäftsführer unterschätzen nach wie vor die Professionalität und Reichweite moderner Cyberangriffe. Die OWAReaper-Kampagne demonstriert eindrucksvoll, dass Angreifer über erhebliche Ressourcen und Fachwissen verfügen.

Compliance-Anforderungen nicht vergessen

Neben den unmittelbaren Sicherheitsrisiken spielen auch regulatorische Anforderungen eine Rolle. Die DSGVO verpflichtet Unternehmen zu angemessenen technischen und organisatorischen Maßnahmen. Ein ungepatchtes System mit bekannten kritischen Schwachstellen könnte im Ernstfall als Verstoß gewertet werden.

Wie netyard Sie unterstützen kann

Als IT-Systemhaus aus Düsseldorf mit 361°-Service bieten wir Ihnen umfassende Unterstützung bei der Absicherung Ihrer IT-Infrastruktur:

Sofortanalyse Ihrer Exchange-Umgebung

Wir überprüfen Ihre Exchange-Installation auf Schwachstellen, prüfen den Patch-Status und identifizieren potenzielle Kompromittierungen.

Professionelles Patch-Management

Unser Team kümmert sich um die zeitnahe Installation von Sicherheitsupdates – inklusive Vortest und Dokumentation.

Kontinuierliches Security-Monitoring

Wir überwachen Ihre Systeme rund um die Uhr und reagieren proaktiv auf verdächtige Aktivitäten.

Incident Response und Recovery

Im Ernstfall eines Sicherheitsvorfalls stehen wir Ihnen mit Expertise und schneller Reaktion zur Seite.

Fazit: Handeln Sie jetzt

Die OWAReaper-Kampagne zeigt die wachsende Bedrohung durch staatlich unterstützte Cyberkriminelle. Die Kombination aus Zero-Click-Exploit, hochentwickelter Malware und gezielten Angriffen auf Unternehmensinfrastruktur erfordert eine sofortige Reaktion.

Unsere dringende Empfehlung:

1. Prüfen Sie unverzüglich den Patch-Status Ihrer Exchange-Server
2. Installieren Sie die verfügbaren Sicherheitsupdates
3. Führen Sie die empfohlenen Sofortmaßnahmen durch
4. Implementieren Sie langfristige Sicherheitsstrategien

IT-Sicherheit ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Gerade Exchange-Server als zentrale Kommunikationsdrehscheibe benötigen besondere Aufmerksamkeit.

Weiterführende Informationen

• Microsoft Security Response Center: Offizielle Informationen zu CVE-2026-42897
• Quelle // Proofpoint Threat Research: Detaillierte technische Analyse der OWAReaper-Kampagne

Bleiben Sie wachsam und halten Sie Ihre Systeme aktuell. IT-Sicherheit ist ein kontinuierlicher Prozess, bei dem wir Sie gerne unterstützen.