Des espions russes s’installent durablement dans Exchange : un simple courriel suffit
Les serveurs de messagerie d’entreprise constituent des cibles privilégiées pour l’espionnage, concentrant échanges, pièces jointes et carnets d’adresses. De nombreuses organisations, n’ayant pas les ressources nécessaires pour une surveillance continue, hébergent ces serveurs en interne. Une analyse récente de Proofpoint révèle une campagne d’intrusion visant Outlook Web Access, l’interface web d’Exchange, attribuée à un groupe russe connu sous les noms de Laundry Bear, Void Blizzard et TA488. Cette intrusion est particulièrement préoccupante, car la charge malveillante installée ne disparaît ni avec un changement de mot de passe ni avec une réinstallation complète de l’appareil.
La faille exploitée, identifiée comme CVE-2026-42897, a été reconnue par Microsoft dès le 14 mai comme étant activement exploitée. Notée 8,1 sur l’échelle CVSS, elle provient d’un défaut de filtrage du code HTML des messages. Lorsqu’un utilisateur ouvre le courriel dans OWA, le serveur renvoie le contenu sans nettoyage, permettant l’exécution de JavaScript dans le navigateur avec les privilèges de la session en cours. Les chercheurs qualifient cette attaque d’« exploit à demi-clic », car elle se déclenche simplement en affichant le message.
Les messages utilisés dans cette campagne sont soigneusement conçus pour paraître anodins, évoquant des sujets tels que le tourisme mondial ou les marchés gaziers, sans liens suspects ni pièces jointes. Le but est de pousser la cible à ouvrir le message et à le considérer comme un courriel sans intérêt, évitant ainsi toute alerte au service informatique. La campagne a ciblé des entités gouvernementales américaines et européennes, ainsi que des secteurs tels que les télécommunications, la finance, l’hôtellerie et l’aéronautique.
L’implant malveillant, dénommé OWAReaper, n’est pas installé sur la machine de la victime, mais fonctionne entièrement dans le contexte du navigateur. Il réécrit le courriel compromis sur le serveur pour supprimer le code d’exploitation, tout en désactivant discrètement certaines fonctionnalités du navigateur. Cela signifie que le courriel infecté redevient inoffensif quelques secondes après son ouverture.
Trois mécanismes garantissent la persistance de l’implant. Le premier consiste à enregistrer une version chiffrée de l’implant dans le stockage local du navigateur, permettant une réinfection automatique à chaque ouverture d’onglet. Le second insère un cadre invisible dans les messages en cache, réactivant l’infection lors de l’ouverture d’anciens courriels, même sur des machines fraîchement réinstallées. Le troisième mécanisme est plus complexe, car il permet à l’implant de voler des jetons d’authentification en exploitant des extensions Outlook.
Le CERT-FR avait déjà émis une alerte le 15 mai, signalant que seules les installations hébergées en interne d’Exchange Server 2016, 2019 et Subscription Edition sont concernées. Les organisations utilisant Exchange Online ne sont pas affectées par cette faille. Cependant, même après la correction du serveur, les permissions accordées à l’alias « Default » peuvent survivre, rendant nécessaire une révision des droits d’accès sur chaque dossier de messagerie.
Les premières infrastructures liées à cette campagne ont été mises en place en mars, deux mois avant la publication du correctif par Microsoft. Cela soulève des questions sur la possibilité que le groupe ait exploité la faille avant même que l’éditeur ne prenne connaissance de celle-ci.
Les organisations utilisant Exchange sur leurs propres serveurs doivent désormais s’interroger non seulement sur l’application des correctifs, mais aussi sur les droits d’accès à leurs dossiers de messagerie.
Source : Proofpoint
