CVE-2026-42897 : Laundry Bear déploie OWAReaper sur Exchange

Une campagne APT déclenchée à la simple ouverture d'un e-mail

Le 22 juillet 2026, des capteurs de détection distribués dans plusieurs pays occidentaux ont commencé à relever une activité inhabituelle liée à des serveurs Exchange. Ce n'est que le 29 juillet que Proofpoint a publié une analyse technique complète révélant l'ampleur réelle de la campagne : le groupe de menace persistante avancée TA488, mieux connu sous les noms Laundry Bear et Void Blizzard, avait lancé une opération d'envoi massif d'e-mails armés contre des organisations gouvernementales, des opérateurs de télécommunications, des institutions financières, des acteurs du secteur hôtelier et des entreprises aérospatiales aux États-Unis et en Europe.

Au coeur du dispositif d'attaque se trouve CVE-2026-42897, une vulnérabilité de type cross-site scripting (XSS) affectant Outlook Web Access (OWA), l'interface web de Microsoft Exchange Server. La particularité technique de cette faille est radicale : il suffit à la victime d'ouvrir l'e-mail piégé dans son navigateur OWA pour que du JavaScript entièrement contrôlé par l'attaquant s'exécute immédiatement dans le contexte authentifié de la session. Aucune pièce jointe à ouvrir, aucun lien à suivre, aucune macro à activer. Les chercheurs de Proofpoint ont qualifié ce vecteur de half-click exploit — une désignation qui illustre à quel point la barre d'interaction utilisateur a été réduite à son minimum absolu.

Cette caractéristique place CVE-2026-42897 dans une catégorie d'exploits particulièrement redoutables. La plupart des formations de sensibilisation au phishing enseignent aux employés de ne pas cliquer sur des liens ou d'ouvrir des pièces jointes suspectes. Ces défenses comportementales, déjà limitées dans leur efficacité pratique, deviennent totalement inopérantes face à une attaque qui se déclenche dès la consultation du message dans l'interface de messagerie professionnelle. Le simple fait de vérifier sa boîte de réception constitue ici le vecteur d'infection.

La charge utile déployée par l'exécution du JavaScript malveillant est un implant nommé OWAReaper. Son architecture est entièrement navigateur-native : il ne dépose aucun fichier sur le système d'exploitation hôte, ne crée aucun processus suspect, ne modifie pas le registre Windows, et ne génère aucun artefact binaire sur le disque. Cette conception fileless le rend quasi invisible pour les solutions antivirus traditionnelles et la grande majorité des plateformes EDR (Endpoint Detection and Response), qui reposent principalement sur la surveillance des processus, des fichiers et des modifications de registre.

OWAReaper dispose de plusieurs capacités offensives critiques. En phase initiale, il récolte silencieusement les identifiants sauvegardés dans le navigateur de la victime ainsi que les tokens OAuth actifs associés au compte compromis. Ces tokens permettent à l'attaquant d'accéder sans nouvelle authentification à l'ensemble des services Microsoft 365 liés au compte : SharePoint, Teams, OneDrive, Azure, et tout autre service cloud fédéré via Entra ID. Dans le contexte d'une organisation moderne où les données critiques sont massivement stockées dans le cloud Microsoft, cette capacité représente à elle seule un risque d'exfiltration majeur.

En phase de persistance, OWAReaper s'auto-attribue des permissions côté serveur sur les dossiers de la boîte aux lettres Exchange, lui conférant un accès permanent aux e-mails entrants et sortants sans nécessiter aucune nouvelle authentification interactive. Mais c'est son troisième mécanisme de persistance qui a le plus alerté les analystes : lorsqu'il est pleinement déployé, OWAReaper ancre sa présence directement dans le serveur Exchange lui-même, et non sur le poste client de la victime. Cette distinction est fondamentale pour les équipes de réponse aux incidents.

Lorsque ce mode de persistance serveur est actif, changer le mot de passe du compte compromis ne suffit pas à éradiquer l'implant. Forcer la révocation de toutes les sessions actives ne suffit pas non plus. Et surtout — point crucial que Proofpoint a spécifiquement mis en avant — réimager complètement l'ordinateur de la victime, procédure standard de remédiation après compromission, ne supprime pas OWAReaper. La seule remédiation efficace consiste à réaliser un audit exhaustif des permissions de dossiers Exchange côté serveur et à corriger manuellement les entrées malveillantes — une opération que peu d'équipes IT effectuent de manière proactive ou même savent réaliser.

Microsoft a reconnu la vulnérabilité CVE-2026-42897 et a publié un correctif dans les jours suivant la divulgation coordonnée de Proofpoint. La criticité de la faille combinée à l'attribution à un acteur étatique russe a conduit la CISA américaine à émettre une directive d'application prioritaire. Les environnements Exchange Server on-premise et les configurations hybrides sont les plus exposés, les tenants Exchange Online bénéficiant d'un déploiement automatique des correctifs par Microsoft. Laundry Bear est suivi depuis 2023 par Microsoft Threat Intelligence sous la désignation Void Blizzard, et ses opérations s'inscrivent dans un contexte plus large de cyberespionnage orienté vers la collecte de renseignements gouvernementaux et industriels au profit des intérêts russes.

Pourquoi OWAReaper marque un tournant dans les techniques APT

L'apparition d'OWAReaper illustre une évolution structurelle dans la doctrine opérationnelle des groupes APT étatiques : la recherche d'une persistance entièrement indépendante de l'endpoint victime. Pendant des années, la réponse aux incidents reposait sur une hypothèse claire — détecter, isoler, réimager. Ce modèle, codifié dans la plupart des playbooks de réponse aux incidents, présuppose que l'implant réside sur le poste de travail compromis. OWAReaper brise cette hypothèse fondamentale en déplaçant la persistance vers l'infrastructure serveur partagée, un composant que les équipes IT ne pensent généralement pas à remettre à zéro lors d'une compromission de compte utilisateur.

Cette logique n'est pas totalement inédite dans l'histoire des attaques Exchange. En mars 2021, le groupe HAFNIUM avait exploité les vulnérabilités ProxyLogon pour installer des web shells persistants sur des serveurs Exchange on-premise à travers le monde, affectant des dizaines de milliers d'organisations. Cet épisode avait conduit la communauté sécurité à améliorer la détection des web shells côté serveur Exchange. OWAReaper va cependant plus loin : en n'écrivant aucun fichier sur le système de fichiers du serveur et en opérant uniquement via les API de gestion Exchange légitimes déclenchées depuis le contexte du navigateur, il contourne précisément les détections de web shell que les équipes SOC ont développées depuis 2021.

Pour les organisations françaises et européennes, cette campagne s'inscrit dans un contexte réglementaire exigeant. La directive NIS2, applicable depuis 2024, oblige les entités essentielles et importantes à notifier les incidents significatifs à l'autorité compétente dans un délai de 72 heures pour l'alerte initiale et 30 jours pour le rapport final. Or, la nature extrêmement furtive d'OWAReaper — aucun artefact disque, aucun processus anormal, des accès qui apparaissent comme légitimes car opérés depuis la session authentifiée de l'utilisateur compromis — rend la détection particulièrement difficile. Des organisations peuvent rester compromises pendant plusieurs semaines sans déclencher une seule alerte dans leurs outils de supervision, rendant le respect des délais NIS2 très difficile a posteriori.

Sur le plan de la défense en profondeur, cette menace souligne l'insuffisance des mesures de sécurité centrées uniquement sur l'authentification (MFA) et la protection des endpoints. Les organisations doivent élargir leur périmètre de surveillance à l'audit comportemental des accès aux boîtes aux lettres Exchange, à la vérification régulière des permissions de dossiers mailbox, au monitoring des tokens OAuth accordés via Entra ID, et à la détection d'anomalies dans les patterns d'accès OWA. La compromission de confiance dans les serveurs d'infrastructure partagée impose désormais de les traiter avec le même niveau de rigueur que les endpoints critiques.

Ce qu'il faut retenir

• Appliquer immédiatement le patch Microsoft pour CVE-2026-42897 sur tous les serveurs Exchange on-premise et hybrides — les environnements Exchange Online sont patchés automatiquement.
• Auditer les permissions de dossiers mailbox Exchange (Get-MailboxFolderPermission) pour détecter toute délégation illégitime, en particulier sur les dossiers Inbox, Sent Items et Calendar.
• Révoquer tous les tokens OAuth actifs des comptes potentiellement exposés, activer le Conditional Access Entra ID et déployer le MFA résistant au phishing (FIDO2) pour les accès OWA.