El grupo de ciberespionaje ruso Laundry Bear, también conocido como Void Blizzard, está explotando una vulnerabilidad zero-day en Microsoft Exchange Outlook Web Access (OWA) para comprometer buzones de correo corporativos e instalar una sofisticada puerta trasera denominada OWAReaper.
La campaña, descubierta por los investigadores de Proofpoint, ha afectado a organizaciones gubernamentales de Estados Unidos y Europa, además de empresas de los sectores de las telecomunicaciones, las finanzas, la hostelería y la industria aeroespacial.
Un ataque que solo requiere abrir un correo
La vulnerabilidad explotada, identificada como CVE-2026-42897, corresponde a un fallo de Cross-Site Scripting (XSS) en Outlook Web Access que permite ejecutar código JavaScript dentro del navegador cuando la víctima simplemente abre un correo electrónico especialmente diseñado.
Los investigadores describen esta técnica como un “half-click exploit”, ya que no es necesario hacer clic en enlaces ni descargar archivos adjuntos: basta con visualizar el mensaje desde el panel de lectura de OWA para que el código malicioso se ejecute automáticamente.
Según Microsoft, el fallo se debe a una sanitización insuficiente del contenido HTML de los mensajes, permitiendo que código JavaScript malicioso sea procesado por el cliente web de Exchange.
OWAReaper: una puerta trasera diseñada para el espionaje
El malware desplegado, bautizado como OWAReaper, representa una evolución de ZimReaper, la herramienta utilizada anteriormente por el mismo grupo para atacar servidores de correo Zimbra mediante otra vulnerabilidad zero-day.
Una vez ejecutado, OWAReaper actúa completamente dentro de la interfaz web de Outlook y realiza varias acciones para ocultar su presencia:
- Elimina automáticamente el código del exploit del correo comprometido.
- Desactiva determinados elementos de la interfaz, como los menús contextuales y algunas ventanas emergentes.
- Recopila información de la cuenta comprometida, incluyendo dirección de correo, nombre de usuario y configuración de Outlook.
- Intenta capturar credenciales aprovechando el autocompletado del navegador mediante elementos HTML invisibles.
Persistencia incluso tras cambiar la contraseña
Uno de los aspectos más preocupantes de esta campaña es su mecanismo de persistencia.
OWAReaper busca complementos de Outlook con permisos ReadWriteMailbox y utiliza sus privilegios para obtener tokens OAuth válidos.
Posteriormente modifica los permisos de todas las carpetas del buzón otorgando privilegios de propietario al usuario predeterminado (“Default”), una configuración que permite acceder al correo desde cualquier cuenta autenticada dentro del mismo entorno Exchange.
Esto significa que restablecer el equipo afectado o cambiar la contraseña del usuario comprometido no elimina el acceso de los atacantes, ya que los permisos permanecen configurados directamente en el servidor.
Además, el malware implementa un segundo mecanismo de persistencia aprovechando la caché sin conexión de Outlook Web Access (IndexedDB), donde inserta un iframe malicioso que vuelve a ejecutarse cada vez que el usuario abre un correo previamente contaminado.
Comunicación oculta mediante GitHub y el propio correo electrónico
OWAReaper incorpora dos canales distintos para recibir instrucciones de los operadores.
El primero utiliza la API de búsquedas de commits de GitHub, donde los atacantes publican comandos cifrados ocultos en mensajes de confirmación (commit messages).
El segundo canal aprovecha el propio buzón de la víctima, analizando determinados correos electrónicos que contienen instrucciones codificadas en Base64.
Para extraer la información robada, el malware utiliza principalmente conexiones HTTPS cifradas que se camuflan tras dominios de redes de distribución de contenido (CDN). Si este método falla, puede recurrir a comunicaciones directas con el servidor de mando y control o incluso emplear exfiltración mediante consultas DNS codificadas.
Una campaña preparada durante meses
Proofpoint señala que la infraestructura utilizada por Laundry Bear comenzó a prepararse ya en marzo de 2026, casi dos meses antes de que Microsoft publicara su aviso de seguridad sobre la vulnerabilidad.
Los correos empleados en la campaña utilizaban asuntos aparentemente inofensivos relacionados con análisis de cadenas de suministro, informes económicos o estudios de mercado, buscando que las víctimas abrieran el mensaje sin sospechar y posteriormente lo descartaran sin reportarlo al departamento de seguridad.
Conclusión
La sofisticación de OWAReaper demuestra cómo los ataques contra plataformas de correo electrónico continúan evolucionando hacia técnicas cada vez más silenciosas y persistentes.
Las organizaciones que utilicen Microsoft Exchange y Outlook Web Access deberían asegurarse de instalar las actualizaciones de seguridad disponibles, revisar los permisos asignados a los buzones de correo, auditar los complementos con acceso ReadWriteMailbox y monitorizar cualquier modificación inusual en los permisos de las carpetas o en los tokens OAuth.
La combinación de una vulnerabilidad zero-day con mecanismos avanzados de persistencia convierte esta campaña en una de las operaciones de ciberespionaje más sofisticadas observadas recientemente contra infraestructuras de correo corporativo.