Présentation de la faille
Une vulnérabilité de gravité maximale dans le serveur Exchange de Microsoft est actuellement exploitée par des hackers russes pour installer des logiciels malveillants et voler des informations confidentielles sur des réseaux non mis à jour. Cette faille, référencée sous le nom de CVE-2026-42897, est une vulnérabilité de type cross-site-scripting (XSS) qui permet l'exécution de code JavaScript malveillant.
Fonctionnement de l'attaque
Les attaques sont menées par le groupe TA488, qui travaille pour le compte du Kremlin. Lorsqu'un utilisateur ouvre un email envoyé à son compte Outlook Web Access (OWA), le code JavaScript malveillant est exécuté, ce qui permet aux attaquants d'installer une extension de navigateur personnalisée appelée OWAReaper. Cette extension donne aux attaquants un accès persistant aux comptes OWA des victimes.
Implications et limites
La vulnérabilité CVE-2026-42897 a été découverte par Microsoft en mai et corrigée en juillet. Cependant, les hackers ont pu l'exploiter en tant que zero-day, ce qui signifie qu'ils ont pu l'utiliser avant que la mise à jour de sécurité ne soit disponible. La sophistication de cette attaque et la capacité des hackers à installer des logiciels malveillants sans que l'utilisateur n'ait à cliquer sur un lien ou à télécharger un fichier soulignent l'importance de mettre à jour régulièrement les logiciels et les systèmes d'exploitation.
Analyse technique
Le code JavaScript malveillant installe l'extension OWAReaper, qui est une implantation basée sur le navigateur conçue pour fournir un accès persistant aux comptes OWA. Cette extension est considérée comme l'une des plus sophistiquées jamais vues, car elle peut être installée simplement en ouvrant un email. Les chercheurs de Proofpoint ont souligné que cette attaque démontre une amélioration des capacités et de la sophistication du groupe TA488, qui est capable d'exploiter des vulnérabilités complexes pour atteindre ses objectifs.
Le code JavaScript malveillant utilise la vulnérabilité XSS pour exécuter du code sur le navigateur de la victime, ce qui permet d'installer l'extension OWAReaper.
