TA488 sfrutta Outlook Web Access: persistenza invisibile server-side

Il gruppo TA488 (anche noto come Void Blizzard) ha lanciato una nuova campagna di attacco contro Outlook Web Access (OWA) on‑premises. Basta aprire una mail infetta — senza cliccare alcun link — per attivare un impianto invisibile nel browser che resiste al cambio password e alla reinstallazione dei dispositivi: una minaccia seria per aziende e PMI.

Cosa è successo

Dal 22 luglio 2026, TA488 ha sfruttato una vulnerabilità (CVE‑2026‑42897) in OWA on‑premises tramite un exploit “half‑click”: l’utente compromesso non deve fare altro che aprire una mail. Il JavaScript malevolo, chiamato OWAReaper, viene eseguito nel pannello di lettura, senza lasciare tracce su disco, e stabilisce una persistenza multi-livello:

viene riscritto il messaggio sul server, l’exploit sparisce;
l’impianto si salva in localStorage del browser sotto un campo legittimo, così ogni nuova scheda lo rilancia;
vengono abbattute le barriere degli accessi: rubati token OAuth, il sistema assegna permessi Owner al “Default user” sul server, estendendo l’accesso a tutti gli account autenticati;
inoltre, un iframe nascosto inserito nella cache offline (IndexedDB) riattiva l’attacco anche dopo re‑imaging.

Invia comandi via commit GitHub o mail; esfiltra dati via HTTPS mascherati da immagini (o, in caso di errore, tramite DNS tunneling). Microsoft ha già rilasciato patch, ma l’impianto rimane finché non viene rimosso consapevolmente.

Perché è importante

Per aziende, negozi online e liberi professionisti italiani, la gravità è concreta:

anche dopo cambio password o reinstallazione del PC, l’accesso resta attivo;
non serve cliccare link o aprire allegati — basta aprire l’email;
l’impianto agisce “silenzioso” e invisibile, rendendo difficile il rilevamento;
se la tua azienda usa OWA in locale, il rischio è reale e richiede misure immediate.

Cosa fare adesso

Applica immediatamente la patch Microsoft per CVE‑2026‑42897;
revoca e controlla i token OAuth collegati agli add‑in di Exchange;
rimuovi eventuali permessi “Default user” assegnati alle cartelle postali;
pulisci il localStorage (chiave PageDataPayload.OwaUserDefaultSettings) e il database IndexedDB offline su OWA;
monitora il traffico e blocca contatti verso domini sospetti o CDN implicati;
valuta audit e logging avanzato di OWA per rilevare comportamenti anomali.

Come ti aiuta Evo Sistemi

Evo Sistemi può supportarti con soluzioni concrete per proteggere la tua attività:

Servizio di sicurezza informatica: analisi, patching, revoca token, monitoraggio continuo;
Realizzazione o aggiornamento sicuro del tuo sito web, anche e‑commerce, con infrastruttura protetta e aggiornamenti gestiti;
Assistenza su compliance e GDPR, per garantire il rispetto delle normative anche in caso di attacchi.

Contattaci per una valutazione personalizzata: scrivici qui.

Domande frequenti

Serve cliccare un link o aprire un allegato per essere colpiti?

No. Basta aprire la mail infetta in Outlook Web Access on‑premises perché l’exploit si attivi automaticamente.

Il cambio della password o il re‑imaging eliminano l’attacco?

No, l’impianto persiste lato server (OAuth, permessi, IndexedDB) e resta anche dopo queste azioni.

Come si può rimuovere l’impianto OWAReaper?

Oltre alla patch, è necessario revocare token, eliminare permessi “Default user”, pulire IndexedDB e localStorage specifici e monitorare per eventuali reinfezioni.

Fonte: Infosecurity Magazine.