قراصنة روس يستغلون ثغرة CVE-2026-42897 في Exchange OWA

مقدمة تحليلية

كشفت شركة Proofpoint لأمن البريد الإلكتروني عن استغلال مجموعة Laundry Bear، المعروفة أيضاً باسم Void Blizzard والمدعومة من الدولة الروسية، لثغرة صفرية في Outlook Web Access (OWA) التابع لـ Exchange. الاستغلال يستهدف CVE-2026-42897، وهي ثغرة برمجة نصية عبر المواقع (XSS) تتيح تنفيذ JavaScript تعسفي، مما يؤدي إلى تثبيت باب خلفي متطور يسمى OWAReaper. تم رصد هذا النشاط قبل أسبوع، مستهدفاً جهات حكومية في الولايات المتحدة وأوروبا، بالإضافة إلى شركات في قطاعات الاتصالات، المالية، الضيافة، والفضاء. هذه الثغرة، التي أطلق عليها الباحثون وصف "استغلال بنقرة نصفية" (half-click exploit)، تسمح للمهاجمين بالوصول طويل الأمد إلى صناديق البريد، حتى بعد إعادة تعيين بيانات الاعتماد أو استعادة النظام من صورة نظيفة.

يمثل هذا التطور تحسيناً ملحوظاً في قدرات المجموعة، التي أنشأت البنية التحتية للهجوم في مارس، قبل شهرين تقريباً من تحذير Microsoft في 14 مايو 2026 بشأن CVE-2026-42897.

التحليل التقني

يعتمد الاستغلال الأساسي لـ CVE-2026-42897 على ضعف في OWA ناتج عن عدم تطهير HTML بشكل صحيح ضمن نص رسائل البريد الإلكتروني. هذا الخلل يمكّن المهاجمين من تضمين شيفرة JavaScript خبيثة تُنفذ بمجرد فتح المستخدم لرسالة بريد إلكتروني مصممة خصيصاً. استخدمت Laundry Bear، التي تتبعها Proofpoint تحت اسم TA488، رسائل تتناول مواضيع تهم الأهداف، مثل تحليلات سلاسل التوريد، وتحديثات الأبحاث، ومؤشرات الأداء لأسواق السياحة والغاز. احتوت رسائل البريد الإلكتروني على محمل JavaScript (JavaScript loader) وحمولات مشفرة بـ Base64 مضمنة في عناوين URL لأيقونات وسائل التواصل الاجتماعي بعد علامة '#'.

تُسلم هذه العملية باباً خلفياً يُدعى OWAReaper، والذي وصفه الباحثون بأنه "الباب الخلفي الأكثر تطوراً الذي يُسلم عبر استغلالات النقرة النصفية". يمثل OWAReaper تطوراً لبرمجية ZimReaper الخبيثة التي لوحظت سابقاً في هجمات على خوادم Zimbra للبريد الإلكتروني باستخدام ثغرة XSS أخرى هي CVE-2025-66376. تُنفذ برمجية OWAReaper بالكامل في جزء القراءة في OWA. عند التنفيذ، تستخدم واجهات برمجة تطبيقات Outlook لإعادة كتابة البريد الإلكتروني على خادم Exchange وإزالة محتوى الاستغلال. في الوقت نفسه، تُعطل النوافذ المنبثقة OWA وقدرة النقر بزر الماوس الأيمن أثناء تشغيلها.

آليات الثبات والتحكم المزدوجة

تتجاوز قدرات OWAReaper مجرد الوصول الأولي؛ فهي توفر آليتين معقدتين للثبات طويل الأمد:

• الآلية الأولى (الخادمية): تتحقق OWAReaper من الوظائف الإضافية المثبتة لـ Outlook التي لديها أذونات ReadWriteMailbox. تستخدم هذه الأذونات لسرقة رموز OAuth عبر طلب عملية GetClientAccessToken الموثقة في learn.microsoft.com. بعد ذلك، تستدعي OWAReaper وظيفة UpdateFolder لمنح نفسها أذونات بمستوى "المالك" (Owner-level permissions) للمستخدم الافتراضي ('Default')، وهو اسم مستعار منخفض الأذونات في جميع مستأجري Microsoft Exchange، على كل مجلد بريد. نظراً لتكوين أذونات صندوق البريد على جانب الخادم، فإن تغيير بيانات اعتماد المستخدم المخترق أو إعادة تثبيت النظام المتأثر لا يلغي وصول المهاجمين.
• الآلية الثانية (الخاصة بالتخزين المؤقت): تُمكن OWAReaper التخزين المؤقت وتُحقن إطاراً داخلياً خبيثاً (malicious iframe) في HTML الخاص بالرسائل المخزنة في قاعدة بيانات IndexedDB غير المتصلة بالإنترنت لـ OWA. يُنفذ هذا الإطار الداخلي في كل مرة يفتح فيها الضحية رسالة بريد إلكتروني مسمومة من ذاكرة التخزين المؤقت.

يدعم الباب الخلفي أيضاً آليتين للتحكم والقيادة (C2). إحداهما تستخدم رسائل التثبيت (commit messages) على GitHub كقناة اتصال، حيث تستعلم البرمجية الخبيثة واجهة برمجة تطبيقات GitHub's Commit Search API كل 24 ساعة عن رسائل مشفرة تطابق تنسيقاً محدداً وتتضمن عنوان البريد الإلكتروني للهدف. الأخرى تتضمن تحليل رسائل البريد الإلكتروني الواردة إلى صندوق بريد الهدف بحثاً عن نصوص رسائل ذات هيكل `{target_email_address}{space}{Base64text}` في IndexedDB. لتبادل البيانات، تستخدم Laundry Bear طريقتين أساسيتين، الأولى عبر HTTPS مع مسارات URI مشفرة بـ AES-CTR تُمرر عبر بعض نطاقات شبكات تسليم المحتوى (CDN) للصور.

في حال فشل الطريقة الأساسية، تُسلم البيانات مباشرة إلى خادم المهاجم. هناك أيضاً آلية احتياطية لاستخراج البيانات عبر DNS، حيث تُشفر البيانات ثم تُرمز في حزم باستخدام طريقة Base32.

السياق وتأثير السوق

تمثل حملة OWAReaper تصعيداً في حرب التجسس السيبراني المدعومة من الدول. إن وصف Proofpoint لها بأنها "تحسين كبير في براعة المجموعة وقدرتها" ليس مبالغة، خاصة عند مقارنتها بالاستغلال السابق لـ CVE-2025-66376 في Zimbra. بينما كان ZimReaper قادراً على سرقة رموز المصادقة الثنائية (2FA) وكلمات المرور، فإن OWAReaper يذهب أبعد من ذلك بتوفير آليات ثبات تتجاهل الإجراءات الأمنية التقليدية. التحول من استغلال Zimbra إلى استغلال Exchange OWA يوسع بشكل كبير نطاق الأهداف المحتملة، نظراً للانتشار الواسع لـ Microsoft Exchange في المؤسسات الحكومية والشركات الكبرى. طبيعة الاستغلال "بنقرة نصفية"، حيث يتطلب فقط فتح البريد الإلكتروني دون الحاجة إلى مرفقات أو روابط مشبوهة، تخفض بشكل كبير حاجز الاختراق، متجاوزة العديد من حلول أمن البريد الإلكتروني التقليدية التي تركز على فحص الروابط والمرفقات.

تأثير السوق مباشر على المؤسسات التي تعتمد على OWA. إن حقيقة أن المهاجمين تمكنوا من بناء بنية تحتية للهجوم في مارس، قبل شهرين من إصدار Microsoft لتحذيرها في 14 مايو 2026، تؤكد على مرونة الفاعلين المدعومين من الدول وقدرتهم على تحديد واستغلال الثغرات الصفرية. هذا الفارق الزمني يضع المؤسسات في موقف دفاعي صعب. آلية الثبات الخادمية، التي تسمح للمهاجمين بالاحتفاظ بالوصول حتى بعد استعادة الأنظمة أو تغيير بيانات الاعتماد، تلغي فعالية البروتوكولات القياسية للاستجابة للحوادث. هذا يرفع من مستوى التعقيد المطلوب للاستجابة للهجوم، مما يتطلب تدقيقاً عميقاً لأذونات Exchange على مستوى الخادم وليس فقط على مستوى المستخدم. تعتبر هذه القدرة تحولاً جوهرياً مقارنة بالعديد من البرمجيات الخبيثة السابقة التي كانت تعتمد على استغلالات على جانب العميل لا تتجاوز حدود الجهاز المخترق أو جلسة تسجيل الدخول الحالية.

رؤية Glitch4Techs

إن حملة OWAReaper ليست مجرد مثال آخر لاستغلال XSS، بل هي تتويج لتكتيكات متطورة تعيد تعريف الثبات في هجمات الويبميل. الحكم واضح: إن آلية الثبات الخادمية التي تمكن OWAReaper من منح نفسها أذونات بمستوى المالك للمستخدم 'Default' على مجلدات البريد، والتي تظل قائمة حتى بعد تغيير بيانات اعتماد المستخدم أو استعادة النظام، تمثل فشلاً هيكلياً في حماية أذونات Exchange. هذا يعني أن الإجراءات الأمنية القياسية التي تعتمد عليها المؤسسات، مثل إعادة تعيين كلمات المرور بعد اختراق مشتبه به، لن تكون كافية لإزالة المهاجمين. بدلاً من ذلك، فإنها توفر إحساساً زائفاً بالأمان بينما يواصل المهاجمون، ببراعة، الوصول إلى البيانات الحساسة.

هذا الخلل يضع عبئاً لا مبرر له على فرق الأمن التي يجب أن تدقق في أعماق خوادم Exchange لتحديد الأذونات غير المصرح بها، وهو أمر يتجاوز نطاق استجابات أمن البريد الإلكتروني التقليدية. إنها ليست ثغرة بسيطة، بل هي ثغرة تؤثر على عمق بنية الأذونات.