Peretas Rusia Manfaatkan Celah Microsoft OWA untuk Akses Kotak Surat Meski Ganti Kredensial

Peretas Rusia baru-baru ini memanfaatkan celah keamanan berbahaya di Microsoft Outlook Web Access (OWA) untuk mempertahankan akses ke kotak surat korban meskipun kredensial sudah diganti atau perangkat di-reset ulang. Celah ini, yang teridentifikasi sebagai CVE-2026-42897 dengan skor CVSS 8.1, merupakan kelemahan cross-site scripting (XSS) yang memungkinkan eksekusi kode berbahaya hanya dengan membuka email.

Eksploitasi Celah Keamanan OWA oleh Peretas Rusia

Sejak 22 Juli 2026, kelompok peretas yang dikenal dengan nama Laundry Bear (juga dikenal sebagai TA488 atau Void Blizzard) menggunakan kerentanan ini untuk menyerang berbagai sektor, termasuk entitas pemerintahan AS dan Eropa, serta industri telekomunikasi, keuangan, perhotelan, dan dirgantara. Mereka mengirimkan email yang tampak biasa dari akun Proton Mail yang mereka kendalikan atau akun yang sebelumnya telah diretas.

Pesan-pesan ini sengaja dibuat sangat umum, tanpa tautan atau lampiran, sehingga penerima lebih mungkin membuka dan membacanya tanpa curiga. Taktik ini dikenal sebagai "half-click" exploit, di mana cukup membuka email saja sudah cukup untuk mengaktifkan serangan.

OWAReaper: Malware Browser untuk Persistensi Akses

Yang membuat serangan ini sangat berbahaya adalah penyebaran malware baru bernama OWAReaper, sebuah implant berbasis JavaScript yang berjalan di dalam konteks browser OWA. Malware ini adalah evolusi dari ZimReaper, malware sebelumnya yang digunakan oleh kelompok yang sama terhadap Zimbra.

• OWAReaper mampu menulis ulang email di server Exchange dan menghapus jejak eksploitasi dari pesan yang sudah terbaca.
• Malware ini menonaktifkan pop-up OWA dan klik kanan agar aktivitas berbahaya tidak terdeteksi.
• Ia membuat kunci sesi unik dan menangkap kredensial yang tersimpan di autofill browser melalui elemen input tersembunyi di halaman.
• Memuat dirinya sendiri secara otomatis setiap kali OWA dibuka dengan menyimpan versi terenkripsi di localStorage browser.
• Memanfaatkan add-in Outlook dengan izin ReadWriteMailbox untuk mencuri token OAuth dan mendapatkan akses pemilik penuh ke semua folder email korban.

Hal krusialnya, OWAReaper bertahan meski pengguna mengganti kredensial atau me-reset ulang perangkat karena aksesnya berada di sisi server Exchange dan harus dihapus secara manual.

Metode Persistensi dan Komunikasi Malware

Selain menyimpan dirinya di localStorage, malware ini juga menanamkan elemen iframe tersembunyi dalam cache pesan offline OWA yang dieksekusi berulang kali saat email berbahaya dibuka. Ini menjamin infeksi ulang setelah perangkat di-reset.

OWAReaper menggunakan dua jalur komunikasi command-and-control (C&C):

1. Mengambil perintah dari API pencarian commit GitHub yang berisi pesan khusus dengan alamat email target.
2. Memproses email masuk yang dikirim oleh operator TA488 dengan format tertentu untuk mengeksekusi perintah.

Data yang diambil dari korban dikirim melalui protokol HTTPS dengan enkripsi AES-CTR. Jika gagal, malware beralih menggunakan metode tunneling DNS untuk menyembunyikan data dalam query DNS ke domain yang dikendalikan aktor.

Latar Belakang dan Implikasi Serangan

Infrastruktur kampanye ini sudah dibuat sejak Maret 2026, dua bulan sebelum Microsoft mengungkap celah CVE-2026-42897, yang mengindikasikan kemungkinan celah ini sudah dieksploitasi sebagai zero-day.

Menurut perusahaan keamanan Proofpoint, serangan ini menunjukkan peningkatan kemampuan dan strategi kelompok TA488 dalam menjalankan serangan half-click yang lebih canggih dan sulit dideteksi.

Analisis Redaksi

Menurut pandangan redaksi, eksploitasi celah ini oleh kelompok peretas Rusia bukan hanya ancaman bagi organisasi besar, tapi juga memperlihatkan bagaimana teknik malware modern semakin mengandalkan persistensi tingkat tinggi yang sulit diberantas. OWAReaper bukan sekadar malware biasa, melainkan sebuah backdoor tingkat lanjut yang mampu bertahan di server dan browser, menembus mekanisme keamanan standar seperti penggantian password dan reset perangkat.

Hal ini menimbulkan tantangan besar bagi tim keamanan siber karena solusi tradisional seperti rotasi kredensial atau reinstall perangkat tidak cukup untuk menghilangkan infeksi. Organisasi harus melakukan pembersihan secara mendalam di sisi server Exchange dan memantau aktivitas jaringan serta perilaku aneh dalam layanan email.

Kedepannya, penting untuk terus mengikuti pembaruan keamanan Microsoft dan meningkatkan kesadaran pengguna terhadap email phishing walaupun tampak umum dan tidak mencurigakan. Half-click exploits seperti ini mengingatkan bahwa keamanan email harus melibatkan pendekatan berlapis, termasuk deteksi anomali aktivitas dan pembatasan hak akses add-in Outlook yang tidak jelas.

Untuk pembaca yang ingin mengikuti perkembangan keamanan siber terkini, terus pantau sumber berita terpercaya dan update patch keamanan resmi dari vendor perangkat lunak.