رصدت شركة Proofpoint نشاطاً جديداً لمجموعة التهديد الروسية المعروفة باسم Laundry Bear (TA488)، حيث استغلت ثغرة في Microsoft Outlook Web Access (OWA) تحمل الرمز CVE-2026-42897 (درجة خطورة 8.1) لاستهداف كيانات حكومية في الولايات المتحدة وأوروبا، إضافة إلى قطاعات الاتصالات والمالية والضيافة والطيران. الثغرة من نوع XSS وقد أُعلن عن استغلالها منذ مايو 2026، لكنها شهدت موجة جديدة من الهجمات في يوليو.
أسلوب الهجوم “نصف النقرة”
اعتمدت المجموعة على ما يُعرف بـ هجمات نصف النقرة، حيث يكفي فتح البريد الإلكتروني لبدء الاستغلال دون الحاجة إلى النقر على روابط أو مرفقات. الرسائل كانت عامة وغير مثيرة للريبة، مثل تحديثات بحثية أو تقارير عن الأسواق، ما يزيد احتمالية فتحها من قبل الضحايا. عند فتح الرسالة، يتم تشغيل حمولة JavaScript عبر خاصية onload=، حيث تُخزن البيانات الخبيثة في أيقونات وسائل التواصل الاجتماعي داخل الرسالة، ثم تُفكك وتُنفذ لاحقاً.
ظهور برمجية OWAReaper
الهجمات الأخيرة أدت إلى نشر برمجية خبيثة جديدة باسم OWAReaper، وهي نسخة مطورة من ZimReaper التي استُخدمت سابقاً ضد Zimbra. تعمل البرمجية داخل واجهة قراءة البريد في OWA وتوفر وصولاً دائماً إلى صندوق البريد عبر:
- سرقة بيانات الاعتماد باستخدام عناصر مخفية في واجهة المتصفح.
- تخزين نسخة مشفرة من نفسها في localStorage لضمان التنفيذ التلقائي عند فتح OWA.
- استغلال إضافات Outlook ذات صلاحيات ReadWriteMailbox لسرقة رموز OAuth ومنح نفسها صلاحيات مالك على مجلدات البريد.
- إضافة iframe مخفي في رسائل مخزنة بـ IndexedDB لإعادة إصابة الجهاز حتى بعد إعادة تهيئته.
قنوات التحكم والسيطرة
تتميز OWAReaper باستخدام قناتين للتحكم والسيطرة (C2):
- عبر GitHub Commit Search API، حيث تبحث البرمجية كل 24 ساعة عن رسائل مرتبطة بالبريد المستهدف.
- عبر رسائل بريدية مرسلة من مشغلي TA488 تحتوي على أوامر مشفرة. كما تعتمد على بروتوكولات متعددة لتسريب البيانات، منها HTTPS المشفر وDNS tunneling.
خطورة الاستمرارية
أبرز ما يميز الهجوم أن الوصول المستمر لصندوق البريد يبقى على مستوى الخادم، ما يعني أن تغيير كلمات المرور أو حتى إعادة تهيئة الجهاز لا يكفي لطرد المهاجم. يتطلب الأمر إزالة البرمجية يدوياً من خادم Exchange. هذا يضع المؤسسات أمام تحدٍ كبير، إذ أن الهجوم لا يترك أثراً واضحاً على الأجهزة، ويستمر في العمل بشكل خفي داخل بيئة OWA.
دلالات الحملة
تشير الأدلة إلى أن البنية التحتية للهجوم أنشئت في مارس 2026، أي قبل إعلان Microsoft عن الثغرة، ما يرجح أنها استُغلت كـ ثغرة يوم الصفر. كما أن حجم الرسائل المستهدفة واتساع نطاقها يعكس محاولة للاندماج مع البريد العشوائي العادي لتجنب الاكتشاف. يبدو أن المجموعة تركز على جمع معلومات استخباراتية من قطاعات حكومية ودفاعية، مع استمرارها في تحسين تقنياتها وتطوير أدواتها.
