4. August 2026, 9:23 Uhr | Lesezeit: 3 Minuten
Eine neue Angriffsmethode auf Outlook Web Access könnte Angreifern langfristigen Zugriff auf fremde Postfächer verschaffen. Sicherheitsforscher warnen vor einer Angriffswelle, bei der bereits eine geöffnete E-Mail zum Problem werden kann. Besonders kritisch: Ein Passwortwechsel soll den Zugriff der Angreifer nicht zwangsläufig beenden.
Bereits das Anzeigen der Nachricht kann reichen
Bei der Methode handelt es sich um einen sogenannten „Half-Click-Exploit“. Nutzer müssen keine weiteren Aktionen ausführen. Schon das Öffnen der Nachricht im Outlook-Webclient kann genügen, damit die Schadsoftware startet.
Die betreffenden E-Mails wirken zunächst unauffällig. Sie enthalten häufig allgemeine Informationen zu Wirtschaftsthemen, Lieferketten oder Tourismus. Dadurch sollen Empfänger keinen Verdacht schöpfen. Der Angriff richtet sich nach bisherigen Erkenntnissen vor allem gegen Behörden sowie Unternehmen aus den Bereichen Telekommunikation, Finanzen, Luft- und Raumfahrt und Gastgewerbe.
Laut Sicherheitsforschern von „Proofpoint“ verschickt die mutmaßlich russlandnahe Hackergruppe TA488, die auch unter den Namen Void Blizzard oder Laundry Bear bekannt ist, entsprechende Nachrichten seit dem 22. Juli 2026.
Schadcode verbirgt sich innerhalb der E-Mail
Ausgenutzt wird die Sicherheitslücke CVE-2026-42897. Sie erlaubt es Angreifern, JavaScript-Code direkt in den Inhalt einer E-Mail einzuschleusen. Der eigentliche Schadcode kann sich dabei sogar in scheinbar harmlosen Social-Media-Symbolen innerhalb der Nachricht verbergen.
Nach erfolgreicher Infektion wird die Backdoor „OWAReaper“ aktiv. Sie arbeitet vollständig innerhalb von Outlook Web Access und hinterlässt keine klassischen Spuren auf dem betroffenen Rechner. Zusätzlich entfernt sie den ursprünglich verwendeten Exploit aus der E-Mail. Das soll die spätere Analyse des Angriffs erschweren.
Hacker nutzen Zero-Day-Lücke in Microsoft Office für Angriffe
Neuartiger Trojaner-Typ zielt auf Google-Konten ab
Warum ein neues Passwort nicht genügt
Der Angriff gilt vor allem deshalb als gefährlich, weil der Zugriff auch nach einem Passwortwechsel bestehen bleiben kann. Die Malware verankert sich an mehreren Stellen im System und erweitert ihre Berechtigungen innerhalb der Exchange-Umgebung.
Auch interessant: Ein falscher Klick auf WhatsApp und Fremde können das Handy steuern
Wie Proofpoint erklärt, nutzt OWAReaper dafür drei verschiedene Mechanismen. Einer davon arbeitet mit gestohlenen OAuth-Tokens. Diese digitalen Zugriffsschlüssel erlauben Anwendungen den Zugriff auf ein Konto im Namen des Nutzers. Zusätzlich manipulieren die Angreifer Postfachberechtigungen, um ihren Zugang auf Serverebene abzusichern.
Sicherheitsforscher sehen eine neue Bedrohungsstufe
Nach Einschätzung der Forscher basiert OWAReaper auf einer älteren Malware namens „ZimReaper“, wurde jedoch deutlich weiterentwickelt. Außerdem halten die Experten es für möglich, dass die Schwachstelle bereits als Zero-Day ausgenutzt wurde, bevor Microsoft einen Patch veröffentlichte.
Proofpoint empfiehlt Unternehmen deshalb, Exchange-Berechtigungen zu überprüfen, betroffene OAuth-Tokens zu widerrufen und verdächtige Verbindungen zu bekannten Kommando- und Kontrollservern zu kontrollieren.
Der aktuelle Fall zeigt außerdem, dass inzwischen nicht mehr nur Anhänge oder Links ein Risiko darstellen. Bereits eine scheinbar harmlose E-Mail kann ausreichen, um ein Postfach zu kompromittieren. Nutzer von Outlook Web Access sollten deshalb Sicherheits-Updates zeitnah installieren und ungewöhnliche Aktivitäten im eigenen Konto ernst nehmen. Zwar richtet sich der aktuelle Angriff gegen Unternehmen, ähnliche Methoden könnten jedoch auch gegen Privatpersonen eingesetzt werden.