Rysk grupp utnyttjar Exchange OWA-zero-day för långvarig åtkomst

Vad har hänt?

BleepingComputer rapporterar att den ryska, statligt knutna hackinggruppen Laundry Bear (även känd som Void Blizzard) utnyttjar en zero‑day‑sårbarhet i Exchange Outlook Web Access (OWA). Enligt uppgifter används e‑postkampanjer för att leverera en backdoor som kallas OWAReaper, med målet att upprätthålla långsiktig åtkomst till komprometterade postlådor.

Varför bör svenska SMB bry sig?

Många små och medelstora företag använder Exchange eller webbaserad åtkomst till e‑post. Om en angripare får bestående åtkomst till en postlåda kan det leda till informationsläckor, affärsspionage, manipulation av fakturor eller vidare spridning i nätverket. Att en statligt kopplad grupp ligger bakom attackerna innebär också att metoderna kan vara skickligt utförda och inriktade.

För svenska företag är följande särskilt relevant:

• Webbaserad e‑post som är exponerad mot internet (OWA) kan vara direkt mål för denna typ av exploit.
• Bestående åtkomst till postlådor kan vara svår att upptäcka utan fokuserad loggning och övervakning.
• Om ni använder molnleverantörer eller externa driftpartners behöver ni snabbt få klarhet i hur de hanterar incidenten.

Vad bör ni göra nu? (konkreta råd)

• Inventera exponering: Kartlägg vilka system som erbjuder OWA/webmail och om de är åtkomliga från internet. Identifiera om era lösningar är molnbaserade eller lokalt driftsatta.
• Kontakta leverantören: Rådgör omgående med er leverantör eller Microsoft (om relevant) för att få aktuella säkerhetsuppdateringar och rekommendationer.
• Begränsa åtkomst: Tills vidare, överväg att stänga av eller begränsa extern åtkomst till OWA, eller kräva åtkomst via VPN eller conditional access.
• Stärk autentisering: Aktivera flerfaktorsautentisering (MFA) för alla e‑postkonton och administrativa konton.
• Granska postlådefunktioner: Kontrollera om det finns okända vidarebefordringar, inkorgsregler eller delegeringar som kan indikera kompromiss.
• Övervaka och logga: Höj nivå för inloggnings- och åtkomstloggning för OWA, bevaka ovanliga inloggningar, geolocation‑ändringar och poster i e‑postloggar.
• Incidentberedskap: Om ni misstänker kompromiss – isolera berörda konton, byt lösenord och rotkonton, och följ er incidenthanteringsplan. Överväg extern incidentresponse vid tecken på inkräktning.

Slutsats

Enligt rapporten används en OWA‑zero‑day i riktade e‑postkampanjer för att installera en backdoor kallad OWAReaper och säkra långvarig åtkomst till postlådor. För svenska SMB är det viktigt att snabbt kartlägga exponering, kontakta leverantörer och vidta åtgärder för att begränsa extern åtkomst och stärka autentisering.

Om ni använder OWA bör ni omgående kontrollera exponering mot internet och följa leverantörens säkerhetsråd.

Källa: BleepingComputer