這是一起由俄羅斯威脅組織 Laundry Bear（又稱 TA488）發起的精密攻擊。他們利用 Microsoft Outlook Web Access (OWA) 的一個跨站腳本漏洞 (XSS)，部署了一款名為 OWAReaper 的瀏覽器植入物。這起攻擊最令人不安的地方在於，它打破了傳統的安全認知：即使管理員強制使用者更改密碼，甚至將受感染的電腦完全重新安裝系統，駭客依然能保持對電子郵件信箱的存取權限。
對於初入行的工程師來說，理解這類攻擊展示了現代網路攻擊如何從單純的「竊取密碼」演進到「控制伺服器端權限」與「利用瀏覽器快取」的深度持久化。
攻擊的起點：半點擊漏洞 (Half-Click Exploit)
這次攻擊利用的是 CVE-2026-42897，這是一個 XSS 漏洞。XSS 簡單來說就是讓攻擊者能將惡意 JavaScript 程式碼注入到受害者的網頁中並執行。
這類攻擊被稱為半點擊漏洞，意思是受害者不需要點擊任何連結或下載附件，只要「打開並閱讀」該封電子郵件，惡意程式碼就會在 OWA 的閱讀窗格中自動觸發。為了降低被發現的機率，駭客發送的郵件內容非常平淡，模仿供應鏈分析或研究更新等資訊類郵件，讓使用者在不懷疑的情況下打開郵件，從而觸發漏洞。
OWAReaper 的運作機制與持久化策略
一旦 XSS 漏洞被觸發，OWAReaper 植入物就會在瀏覽器環境中執行。它的運作流程分為三個層次：
第一層：隱蔽執行與身分竊取 植入物執行後會立刻利用 Outlook API 修改伺服器上的郵件內容，將觸發漏洞的惡意碼刪除，讓事後稽核難以發現。接著，它會利用瀏覽器的自動填入 (Autofill) 功能，透過在 DOM 中建立隱藏的輸入欄位，偷偷抓取使用者的儲存憑據。
第二層：瀏覽器端的持久化 (Client-Side Persistence) 為了確保使用者下次開啟瀏覽器時它還在，OWAReaper 會將加密後的自身程式碼存入瀏覽器的 localStorage（一種讓網站儲存資料的本地儲存空間）。這樣只要使用者再次開啟 OWA 分頁，惡意程式碼就會重新執行。此外，它還將惡意程式碼隱藏在 OWA 的離線快取 (IndexedDB) 中，即使電腦被重新安裝系統 (Re-imaging)，只要使用者重新登入並同步快取，就可能再次被感染。
第三層：伺服器端的持久化 (Server-Side Persistence) 這是本次攻擊最核心的威脅。OWAReaper 會尋找具有 ReadWriteMailbox 權限的 Outlook 插件，並利用這些權限竊取 OAuth 令牌 (OAuth Tokens)。最關鍵的是，它會將自己設定為該使用者所有郵件資料夾的 Owner (擁有者) 權限。
這意味著權限已經在 Exchange 伺服器端被修改。即使使用者更改了密碼，或者刪除了所有瀏覽器快取，駭客依然擁有伺服器層級的存取權，可以直接讀取信箱內容。
指令控制與資料外傳 (C2)
OWAReaper 使用了兩種極其隱蔽的指令控制通道，避免被傳統的防火牆或流量監控偵測：
GitHub 頻道：它每 24 小時會查詢一次 GitHub 的 Commit Search API。如果發現包含受害者電子郵件地址的提交訊息，就會將其解密為指令。對安全設備來說，這看起來只是正常的 GitHub 流量。
郵件頻道：駭客可以直接發送特定格式的郵件到受害者信箱，植入物會掃描 IndexedDB 中的郵件內容並執行其中的指令。
至於資料外傳，它優先使用 HTTPS 傳輸，如果被攔截，則會切換到 DNS 隧道 (DNS Tunneling)，將資料碎片化地隱藏在標準的 DNS 查詢請求中，將資料偷偷送出。
工程實務的反思與防禦
這次事件告訴我們，單純的「密碼輪替」在面對高級持久性威脅 (APT) 時是不夠的。當攻擊者已經獲取伺服器端的權限（如 OAuth Token 或 Folder Owner 權限）時，身分驗證的更改無法撤銷已授予的權限。
防禦重點應放在： 快速修補 XSS 漏洞：這是所有攻擊鏈的入口。 審查權限授予：定期檢查 Exchange 伺服器上不正常的資料夾權限分配。 監控異常流量：關注對 GitHub API 或異常 DNS 查詢的頻繁請求。 撤銷所有 Token：在發生感染後，除了改密碼，必須強制撤銷所有活動的 OAuth 會話與令牌。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。