Un correo sin enlaces, adjuntos ni errores: una única campaña comprometió cuentas de correo gubernamentales en EE. UU. y Europa

Un mensaje habitual, sin enlaces ni adjuntos, resultó suficiente para que el grupo de hackers TA488 obtuviera acceso persistente al correo de la víctima. A los atacantes les bastó con esperar a que el usuario abriera el mensaje en la versión web de Outlook.

Los especialistas de Proofpoint detectaron la nueva campaña el 22 de julio de 2026. Los atacantes explotaron la vulnerabilidad CVE-2026-42897 (9,4, High) en Outlook Web Access, que permitía ejecutar código malicioso desde el cuerpo del mensaje. Los objetivos fueron instituciones gubernamentales de EE. UU. y Europa, así como empresas de telecomunicaciones, entidades financieras, hoteles y compañías aeroespaciales.

Los mensajes se presentaban como boletines informativos anodinos sobre el mercado del gas, turismo, salud, energía nuclear o el suministro de semiconductores. En los correos no había enlaces sospechosos, adjuntos ni solicitudes para realizar ninguna acción. La idea era que el destinatario abriera el mensaje, lo revisara por encima y lo eliminara como innecesario sin avisar al equipo de seguridad.

Al abrir el mensaje, el servidor Exchange procesaba incorrectamente el HTML incrustado y ejecutaba un script JavaScript. Parte de la carga maliciosa los atacantes la ocultaron dentro de los iconos de redes sociales en el formato del correo. El código reunía fragmentos codificados y lanzaba el implante hasta entonces desconocido OWAReaper directamente en la ventana del navegador.

OWAReaper no instalaba archivos en el equipo y operaba dentro de la interfaz web de Outlook. Primero el programa reescribía el mensaje infectado en el servidor y borraba las huellas de la explotación. Después el implante recopilaba la dirección de correo, el nombre de usuario y la configuración de Outlook, y también intentaba obtener las credenciales guardadas por el navegador mediante campos de entrada invisibles.

Para persistir, OWAReaper guardaba una copia cifrada de su propio código en la configuración de la versión web de Outlook. Cada vez que se abría una nueva pestaña, el mecanismo normal de restauración de configuración volvía a ejecutar el script malicioso. El implante colocaba además una copia en la caché fuera de línea de los mensajes, por lo que la infección podía reaparecer incluso después de una reinstalación completa del sistema en el equipo.

El malware también comprobaba los complementos instalados en Outlook e intentaba robar claves de acceso OAuth. Luego OWAReaper modificaba los permisos de las carpetas de correo y otorgaba al usuario Default el nivel de propietario. Como resultado, cualquier cuenta ya comprometida dentro de la misma organización podía obtener acceso completo al buzón de la víctima. Un simple cambio de contraseña no eliminaba esta vía, ya que los permisos alterados se almacenaban en el servidor Exchange.

Los atacantes enviaban comandos de dos formas. OWAReaper buscaba una vez al día mensajes especialmente preparados en el historial de cambios en GitHub o comprobaba nuevos mensajes entrantes. Los operadores podían reemplazar todo el código del implante, cambiar los servidores de control o ejecutar un comando arbitrario.

Los datos robados se enviaban mediante solicitudes HTTPS, disfrazadas como cargas de imágenes desde redes de entrega de contenido populares. Si el canal principal fallaba, OWAReaper cambiaba a la transmisión de datos cifrados a través de consultas DNS. Algunos archivos, incluidos los datos de la sesión de Outlook y de los complementos instalados, se enviaban al servidor de los atacantes sin cifrar el contenido.

Proofpoint vinculó la campaña con TA488, también conocida como Void Blizzard y Laundry Bear. Señalaron a la agrupación por ataques previos al correo web, la similitud de OWAReaper con la herramienta ZimReaper, el robo de credenciales y la exfiltración de información mediante DNS.

Según la compañía, la infraestructura para la nueva campaña comenzó a prepararse ya en marzo de 2026, dos meses antes de la actualización no programada de Microsoft para CVE-2026-42897. Los especialistas admiten que TA488 pudo haber explotado la vulnerabilidad antes de la publicación del parche.

Se recomienda a las organizaciones que verifiquen y revoquen claves de acceso Exchange sospechosas, eliminen los permisos de propietario Default otorgados al usuario sobre las carpetas de correo, y limpien el almacenamiento local y la caché fuera de línea de Outlook Web Access. Una simple reinstalación del equipo o un cambio de contraseña puede no ser suficiente para eliminar por completo a OWAReaper.