Les espions russes lancent leur attaque par courrier électronique en demi-clic de Zimbra vers Outlook

L’équipe d’espionnage russe qui a fait de la simple lecture d’un courrier électronique un risque pour la sécurité s’est étendue au-delà de Zimbra, Proofpoint affirmant qu’elle utilise désormais la même astuce du demi-clic contre Microsoft Outlook Web Access.

Proofpoint affirme que le cybergroupe qu’il suit sous le nom de TA488, ou « Laundry Bear », a commencé à exploiter CVE-2026-42897, une faille de script intersite dans le composant Outlook Web Access (OWA) du serveur Exchange sur site, un jour avant que des chercheurs et des agences gouvernementales ne révèlent l’abus du groupe d’un jour zéro dans Zimbra Collaboration Suite.

Contrairement aux attaques de phishing classiques, celle-ci ne consiste pas à persuader la victime de suivre un lien ou de télécharger un fichier. Si une cible ouvre le message piégé dans OWA, le navigateur exécute du JavaScript contrôlé par l’attaquant dans la session de messagerie authentifiée de la victime. Exchange Online n’est pas affecté.

Selon Proofpoint, TA488 a abusé de la faille OWA pour cibler des organisations gouvernementales aux États-Unis et en Europe, ainsi que des entreprises de télécommunications, de services financiers, d’hôtellerie et d’aérospatiale. Les chercheurs ont déclaré que cette campagne d’une ampleur inhabituelle était peut-être destinée à se cacher dans le bruit de fond du trafic de courrier électronique quotidien plutôt que dans les opérations étroitement ciblées plus communément associées aux groupes d’espionnage.

« TA488 semble démontrer un intérêt pour un large éventail de secteurs tout en maintenant les priorités en matière de collecte de renseignements contre le gouvernement et la défense », a déclaré Proofpoint. « Les thèmes de leurre restent génériques et banals, de sorte que la cible est plus encline à ouvrir et à parcourir l’e-mail, mais finalement à l’ignorer. »

Au lieu de déposer des logiciels malveillants classiques sur le point final, les attaquants déploient un implant de navigateur baptisé OWAReaper qui réside entièrement dans OWA. Proofpoint affirme qu’il ne laisse pratiquement aucun artefact hôte, communique sur deux canaux de commande et de contrôle, prend en charge plusieurs méthodes d’exfiltration de données et survit aux redémarrages du navigateur, aux changements de mot de passe et même à une reconstruction complète de l’appareil, car l’ancrage réside dans la boîte aux lettres compromise plutôt que sur Windows lui-même.

CVE-2026-42897 ne fait pas ses débuts sur Le registre. Microsoft a révélé le bug en mai à la suite d’informations selon lesquelles des attaquants l’utilisaient de manière sauvage. Le dernier rapport de Proofpoint donne une meilleure idée du tableau, montrant que l’activité faisait partie d’une campagne d’espionnage plus large plutôt que d’une exploitation isolée.

Proofpoint pense que TA488 a peut-être exploité la faille comme un jour zéro, citant une infrastructure d’attaquant qui remonte à mars, environ deux mois avant le correctif hors bande de Microsoft. Si cela est exact, cela suggérerait que la campagne était en cours bien avant que les défenseurs ne sachent qu’il y avait une vulnérabilité à corriger.

« Si tel est le cas, l’amélioration combinée du malware et le développement d’exploits contre une cible plus difficile dans Outlook Web Access signalent un bond en avant dans les capacités du TA488 », a déclaré Proofpoint.

Microsoft n’a pas immédiatement répondu à Le registrec’est questions, mais si l’évaluation de Proofpoint tient, le TA488 ne se contente pas de recycler une vieille astuce. Il s’agit d’en affiner un qui s’est déjà révélé capable de contourner l’un des plus anciens conseils de sécurité du livre : ne cliquez pas sur les liens suspects. ®