Il 22 luglio 2026, un giorno prima della pubblicazione congiunta di Proofpoint e NSA di un report su TA488 (Void Blizzard, Laundry Bear), attore allineato alla Russia, lo stesso gruppo ha avviato una campagna che sfrutta la CVE-2026-42897 di cross-site scripting (XSS) in Outlook Web Access (OWA).
La campagna ha preso di mira enti governativi statunitensi ed europei, oltre ai settori delle telecomunicazioni, finanziario, dell’ospitalità e aerospaziale.
Come ha rilevato Proofpoint, TA488 sta intensificando l’utilizzo di exploit “half-click”, in cui è sufficiente aprire l’email per attivare la compromissione, con meccanismi di caricamento, tecniche e malware significativamente migliorati, segnalando un avanzamento nelle capacità e nel modus operandi del gruppo. Il volume di messaggi e l’ampiezza del targeting sono inusuali per TA488 e potrebbero essere stati intenzionalmente estesi per confondersi con lo spam di massa ed evitare controlli.
TA488 ha utilizzato messaggi esca volutamente vaghi, privi di inviti all’azione rivolti all’utente preso di mira. Il contenuto era strutturato in modo da simulare e-mail informative su argomenti quali analisi della catena di approvvigionamento, aggiornamenti di ricerca e indicatori o metriche più generali relativi ai mercati del turismo o del gas.
Aprire l’email in Outlook Webmail causa la gestione errata dell’HTML del messaggio e l’esecuzione di JavaScript arbitrario. Questo esegue il payload contenuto nel corpo del messaggio, un impianto che Proofpoint chiama OWAReaper, progettato specificamente per garantire accesso persistente all’interno di OWA.
OWAReaper opera all’interno del contesto browser di OWA in modo invisibile senza lasciare tracce sull’host. Utilizza due canali di comunicazione C&C e due protocolli di esfiltrazione dati ed è in grado di sopravvivere al riavvio del browser, alla rotazione delle credenziali e al reimaging completo del dispositivo della vittima.
L’infrastruttura più datata utilizzata in questa campagna è stata creata a marzo 2026, due mesi prima della patch out-of-band di Microsoft per CVE-2026-42897, ed è quindi plausibile che TA488 abbia utilizzato questa vulnerabilità come zero-day.
Proofpoint non ha ancora analizzato nel dettaglio questa nuova attività per integrarla nei report esistenti, ma ha preferito comunicarla pubblicamente con l’obiettivo di metterla subito in evidenza.
