O grupo de hackers patrocinado pelo Estado russo conhecido como Laundry Bear (também identificado como Void Blizzard e TA488) está executando uma campanha de espionagem cibernética de alto nível ao explorar uma vulnerabilidade de dia zero no Outlook Web Access (OWA) do Microsoft Exchange Server. Identificada como CVE-2026-42897, a falha é um problema de cross-site scripting (XSS) que permite a execução de JavaScript arbitrário no contexto do navegador da vítima quando um e-mail especialmente criado é aberto no OWA. O que torna este ataque particularmente perigoso é que ele é o que os pesquisadores da Proofpoint chamam de "exploit de meio-clique" — a vítima não precisa clicar em nenhum link ou baixar nenhum arquivo. Basta abrir o e-mail malicioso para que o dispositivo seja comprometido.
A campanha foi detectada pela primeira vez em 22 de julho de 2026 pela empresa de segurança de e-mail Proofpoint, que vem monitorando as atividades do grupo. Os alvos incluem entidades governamentais nos Estados Unidos e na Europa, bem como empresas nos setores de telecomunicações, finanças, hospitalidade e aeroespacial. A vulnerabilidade CVE-2026-42897 foi originalmente divulgada pela Microsoft em 14 de maio de 2026, que já na época alertava que a falha estava sendo explorada ativamente como um dia zero. No entanto, a Proofpoint descobriu que a infraestrutura de ataque do Laundry Bear para esta campanha remonta a março de 2026 — dois meses antes do alerta da Microsoft — sugerindo que o grupo teve acesso prolongado à vulnerabilidade antes de qualquer defesa conhecida.
A carga maliciosa entregue pelo exploit é um backdoor sofisticado denominado OWAReaper, descrito pela Proofpoint como o backdoor mais sofisticado já visto sendo entregue por exploits de meio-clique. O OWAReaper é executado inteiramente no painel de leitura do Outlook Web Access. Imediatamente após a execução, o malware utiliza as APIs do Outlook para reescrever o e-mail no servidor Exchange e remover o conteúdo do exploit, apagando seus rastros. Simultaneamente, o OWAReaper desabilita pop-ups do OWA e a capacidade de clicar com o botão direito durante sua execução, dificultando ainda mais a detecção.
O que torna o OWAReaper particularmente alarmante são seus mecanismos de persistência. O backdoor foi projetado para sobreviver à rotação de credenciais — quando a vítima troca sua senha, o acesso não é perdido — e até mesmo à reinstalação completa do dispositivo. Isso porque a base de operações do malware reside na própria caixa de correio comprometida do Exchange, não no sistema operacional do dispositivo da vítima. O OWAReaper estabelece dois canais de comando e controle separados, suporta múltiplos métodos de exfiltração de dados e coleta informações como endereço de e-mail, nome de usuário e configurações do Outlook.
Esta campanha representa uma evolução significativa nas capacidades do Laundry Bear. O grupo já havia sido associado à exploração de outra vulnerabilidade XSS (CVE-2025-66376) como dia zero em servidores de e-mail Zimbra, onde entregavam um malware similar chamado ZimReaper. A transição do Zimbra para o Exchange OWA demonstra um aprimoramento técnico considerável, já que o Outlook Web Access representa um alvo mais complexo e amplamente utilizado. A Proofpoint descreve esta mudança como "uma melhoria significativa no conhecimento técnico e na capacidade do grupo".
O contexto geopolítico mais amplo torna esta campanha ainda mais preocupante. Nos últimos meses, grupos ligados à Rússia têm intensificado operações cibernéticas em múltiplas frentes. Além do Laundry Bear, outros grupos patrocinados pelo Kremlin, como o Nobelium (também conhecido como Cozy Bear), responsável pelo ataque à SolarWinds, continuam ativos. Simultaneamente, ataques a infraestruturas críticas, como estações de tratamento de água, e campanhas de grupos ligados ao Irã ampliam o cenário de ameaças globais.
Os e-mails utilizados na campanha são descritos como "banais" pelos pesquisadores da Proofpoint, imitando relatórios de análise de cadeia de suprimentos, atualizações de pesquisa e indicadores de desempenho para mercados de turismo e gás. A escolha de temas genéricos e não alarmantes é intencional — o objetivo é que a vítima abra e leia a mensagem, mas a descarte como spam comum, sem jamais desconfiar que um exploit foi executado.
Para administradores de sistemas e profissionais de segurança, as recomendações são claras: aplicar imediatamente o patch da Microsoft para CVE-2026-42897, implementar monitoramento aprimorado em ambientes Exchange on-premises, revisar permissões de pastas de e-mail em busca de alterações suspeitas, e considerar a migração para Exchange Online, que não é afetado por esta vulnerabilidade específica. Além disso, a ativação de logs detalhados de acesso ao OWA e a implementação de soluções de detecção de comportamento anômalo em webmails podem ajudar a identificar atividades maliciosas.
À medida que grupos de espionagem cibernética estatal como o Laundry Bear continuam a aperfeiçoar suas táticas, uma pergunta permanece: se a simples abertura de um e-mail é suficiente para comprometer uma organização inteira, como podemos repensar fundamentalmente a segurança do correio eletrônico na era das ameaças persistentes avançadas?
Fontes: BleepingComputer, The Hacker News, The Register
✓ Fontes independentes cruzadas e verificadas antes da publicação
