Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Una nuova campagna del gruppo TA488 sfrutta la vulnerabilità CVE-2026-42897 di Outlook Web Access: basta aprire una semplice email, senza cliccare link o allegati, per installare OWAReaper. Il malware persiste sul server Exchange e può sopravvivere anche al cambio password e alla reinstallazione del PC.
Al gruppo di hacker TA488 è bastata una normale email enza link o allegati per ottenere un accesso stabile alla posta della vittima. Agli aggressori è bastato attendere che l’utente aprisse il messaggio nella versione web di Outlook.
Questo è quanto rilevato dagli specialisti di Proofpoint, i quali hanno scoperto una nuova campagna il 22 luglio 2026. Gli aggressori hanno sfruttato la vulnerabilità monitorata con il codice CVE-2026-42897 (9.4, Alta) in Outlook Web Access, che ha consentito loro di eseguire codice dannoso dal corpo del messaggio. Tra gli obiettivi figuravano agenzie governative negli Stati Uniti e in Europa, nonché aziende dei settori delle telecomunicazioni, finanziario, alberghiero e aerospaziale.
Le email sembravano noiose newsletter sul mercato del gas, sul turismo, sulla sanità, sull’energia nucleare o sulle forniture di semiconduttori. I messaggi non contenevano collegamenti, allegati o richieste di intervento sospetti. Questa mimica si basava sul fatto che il destinatario avrebbe aperto la lettera, l’avrebbe visionata rapidamente e l’avrebbe cancellata come non necessaria senza informare il servizio di sicurezza.
Dopo l’apertura del messaggio, il server Exchange non ha analizzato correttamente l’HTML incorporato ed eseguito lo script JavaScript. Gli aggressori hanno nascosto parte del payload dannoso all’interno delle icone dei social network nel design dell’e-mail. Il codice ha raccolto i frammenti codificati e ha lanciato l’impianto OWAReaper precedentemente sconosciuto direttamente nella finestra del browser.
OWAReaper non ha installato file sul computer e ha funzionato all’interno dell’interfaccia web di Outlook. Innanzitutto il programma ha riscritto la lettera infetta sul server e ha rimosso le tracce della vulnerabilità. L’impianto ha quindi raccolto l’indirizzo email, il nome utente e le impostazioni di Outlook e ha anche tentato di ottenere le credenziali salvate dal browser tramite campi di input invisibili.
Per mantenere persistenza, OWAReaper ha memorizzato una copia crittografata del proprio codice nelle impostazioni della versione web di Outlook. Ogni volta che veniva aperta una nuova scheda, il meccanismo di ripristino delle impostazioni standard lanciava nuovamente lo script dannoso. L’impianto ha inserito una copia aggiuntiva in una cache di posta elettronica offline, quindi l’infezione potrebbe ripresentarsi anche dopo una reinstallazione completa del sistema sul computer.
Il malware ha inoltre controllato i componenti aggiuntivi di Outlook installati e ha tentato di rubare le chiavi di accesso OAuth. OWAReaper ha quindi modificato i permessi sulle cartelle di posta e ha assegnato all’utente predefinito il livello Proprietario. Di conseguenza, qualsiasi account già violato all’interno della stessa organizzazione potrebbe ottenere pieno accesso alla casella di posta della vittima. La semplice modifica della password non ha risolto il problema perché le autorizzazioni modificate erano archiviate sul server Exchange.
Gli aggressori hanno trasmesso i comandi in due modi. OWAReaper una volta al giorno cercava messaggi appositamente preparati nella cronologia delle modifiche su GitHub o controllava i nuovi messaggi in arrivo. Gli operatori potevano quindi sostituire l’intero codice dell’impianto, cambiare server di controllo o eseguire un comando arbitrario.
Le informazioni rubate sono state inviate tramite richieste HTTPS camuffate da immagini scaricate dalle reti di distribuzione di contenuti più diffuse. Se il canale principale falliva, OWAREaper passava alla trasmissione di dati crittografati tramite query DNS. Alcuni file, comprese le informazioni sulla sessione di Outlook e sui componenti aggiuntivi installati, sono stati inviati al server degli aggressori senza crittografarne il contenuto.
Proofpoint ha collegato la campagna al threat actors TA488, noto anche come Void Blizzard e Laundry Bear. Il gruppo è stato segnalato da precedenti attacchi alla webmail, dalla somiglianza di OWAReaper con lo strumento ZimReaper, dal furto di credenziali e dal trasferimento di informazioni tramite DNS.
Secondo l’azienda, l’infrastruttura per la nuova campagna ha iniziato a essere preparata nel marzo 2026, due mesi prima dell’aggiornamento non programmato di Microsoft per CVE-2026-42897. Gli esperti ammettono che TA488 potrebbe aver sfruttato la vulnerabilità prima del rilascio della patch.
Si consiglia alle organizzazione di controllare e revocare le chiavi di accesso di Exchange sospette, rimuovere i diritti concessi all’utente predefinito sulle cartelle di posta e cancellare l’archivio locale e la cache offline di Outlook Web Access. La semplice reinstallazione del computer o la modifica della password potrebbero non essere sufficienti per eliminare completamente OWAREaper.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/