Anoymask

TA488 OWAReaper：メールを開くだけでOWA内部に永続化を追加する「ハーフクリック」攻撃

1. 基本情報

2. 一行要約

OWAで細工されたメールを表示するとJavaScriptが実行され、デバイス上にファイルは残らず、ブラウザとExchangeの両方で永続化を実現し、保存済み認証情報、OAuthトークン、メールボックス権限を窃取する攻撃です。

3. 攻撃の流れ

  1. 侵害されたアカウントから、URLや添付ファイルのない通常の案内メールが送信される。
  2. 被害者がOWAの閲覧ペインでメールを開く。
  3. CVE-2026-42897によりonloadイベントがトリガーされ、メール本文内の画像断片からBase64 JavaScriptを再構成する。
  4. OWAReaperがOWAブラウザコンテキストで実行され、元のメールから悪意のある部分を削除する。
  5. 不可視のDOM入力フィールドを用いて、ブラウザのオートフィルIDおよびパスワードを収集する。
  6. 暗号化された自身をOWA設定内に隠し、OWAの同期・復元時に再実行されるようにする。
  7. 特権を持つOutlookアドインを介してOAuthトークンを窃取する。
  8. すべてのメールフォルダーに対してDefaultプリンシパルにOwner権限を付与し、同じ組織内の別の認証済みアカウントから継続的なアクセスを可能にする。
  9. IndexedDBオフラインメールキャッシュにiframeを埋め込み、再感染を図る。
  10. GitHubコミットメッセージまたは攻撃者メールからコマンドを受け取り、複数の経路でデータを送信する。

4. 攻撃者の位置と実行場所

  • 配信およびC2は、侵害されたメールアカウント、GitHub、攻撃者メールの外部から行われる。
  • エクスプロイトおよびインプラントは被害者のOWAブラウザタブ内で実行される。
  • 永続化の一部はExchange上のメールボックス権限および設定に残り、デバイスを再イメージングしても消えない。

5. 被害者および管理者が目にするもの

  • ユーザーには、添付ファイルやリンクのない通常の案内メールのように見える。
  • 悪意のあるコードは開封後にメール本文から消失するため、事後確認時には通常のメールのように見える可能性がある。
  • EDRには実行可能ファイルや典型的な子プロセスは表示されない。
  • 管理者には、フォルダー権限の変更、OWA設定の変更、GitHub APIトラフィック、異常なメールAPIアクティビティとして現れる可能性がある。

6. 成功および失敗の条件

成功条件

  • 未パッチのOWAが細工されたHTMLを処理する。
  • ユーザーが対象メールをOWAで表示する。
  • JavaScript、localStorage、IndexedDB、およびOWA同期が利用可能である。
  • トークンの窃取にはReadWriteMailbox権限を持つアドインが必要である。

失敗条件

  • CVE-2026-42897がパッチ適用済みである。
  • メールゲートウェイまたはOWAが悪意のあるHTMLを除去する。
  • ブラウザのオートフィルが無効化されており、必要なアドインが存在しない。
  • Exchangeの監査が権限変更を早期に検知し、サーバー側の設定を削除する。

7. 成功時に起こること

保存済み認証情報およびOAuthトークンが窃取され、攻撃者はメールの検索および制御が可能になる。Owner権限と複数のブラウザ永続化手法により、パスワード変更やデバイス再構築後もメールボックスの侵害が継続する可能性がある。

8. 観測可能なログ

  • メール: 一般的な件名のメール受信、開封直後の本文書き換え、攻撃者からのコマンドメール。
  • Proxy/SWG/DNS: OWAタブからGitHub Commit Search APIへの定期的なトラフィック、既知のC2および宛先サーバーへのトラフィック。
  • Endpoint/EDR: ファイル痕跡は少ない。ブラウザのlocalStorage、IndexedDB、拡張機能/アドインの使用状況を確認する必要がある。
  • Identity/IdP: OAuthトークンの作成および使用、同じ組織内の別アカウントからの対象メールボックスへのアクセス。
  • SaaS/Cloud: Default:OwnerのExchangeフォルダーACL、OWAユーザー設定の不審な変更。
  • Network: ET Rules 2071330〜2071333に一致するXSS、ビーコン、送信パターン。

9. 攻撃成功の判断

  • Contact Only: 悪意のあるメールを受信したが未開封。
  • User Action: OWAの閲覧ペインで開封。
  • Initial Execution: onload後のJavaScript再構成、メール本文の自己削除、セッションキーの作成。
  • Malware or Auth Success: localStorage永続化、認証情報またはOAuthトークンの取得。
  • Data Theft & Session Compromise: C2応答、メールの外部送信、トークンおよび設定の送信。
  • Subsequent Compromise Confirmation: DefaultへのOwner付与、他アカウントによるメールボックスアクセス、再イメージング後の再感染。

10. 調査プレイブック

  • Trigger: CVE-2026-42897シグネチャ、対象件名、OWAからGitHub APIへのアクセス、異常なメールフォルダーACL。
  • Initial Check: 元のメール、配信および開封時刻を保存し、サーバー側の本文履歴とクライアントキャッシュを比較する。
  • Device: ブラウザプロファイル、localStorage、IndexedDB、OWAキャッシュ、保存済み認証情報、アドインを収集する。
  • Auth & Cloud: OAuthトークン、アドイン権限、OWA設定、全フォルダーACL、他アカウントからのアクセスを監査する。
  • Subsequent Actions: GitHub API検索、コマンドメール、メール検索、転送、削除、外部送信のシーケンスを確認する。
  • Containment: パッチ適用、悪意のあるメールの隔離、トークンの失効、認証情報の変更、アドインの無効化、ACL・OWA設定・キャッシュの削除。
  • Status Categories: Delivered / Opened / Script Executed / Persistence Established / Token or Credential Stolen / Mailbox Access Confirmed / Exfiltration Confirmed.

11. 防御および検知のアイデア

  • Single Event: DefaultへのOwner付与、OWAタブからのGitHub Commit Search API呼び出し、OWA設定内の長大な暗号化文字列。
  • Timeline Correlation: 対象メール開封 → 本文変更 → OWA設定変更 → ACL変更 → GitHub API/C2トラフィック。
  • Hunting: すべてのメールボックスでDefault:Owner、2022-07-22以降の一致する件名、OWA設定およびIndexedDB内の不審なiframeを確認する。
  • Missing Logs: メール開封、フォルダーACL、アドイントークン、ブラウザストレージログがなければ成功判定は困難。
  • Priority Actions: Exchange更新、外部メールHTML制御、メールボックス監査、フィッシング耐性認証、アドイン最小権限。

12. 事実 / 推論 / 仮説

事実

  • Proofpointは、TA488が2026-07-22からCVE-2026-42897を悪用したことを確認した。
  • OWAReaperはOWA内部で実行され、localStorage、メールキャッシュ、サーバー側ACLを利用する。
  • C2にはGitHubコミットメッセージと受信メールの2つの経路がある。

推論

  • デバイスの初期化だけでは不十分であり、インシデント対応にはExchangeテナント側も含める必要がある。
  • URLおよび添付ファイルのみに依存するメール検知は初期接触を見逃しやすい。

仮説

  • OWA設定変更およびACL変更とメール開封イベントを組み合わせることで、高い確信度での検知が可能になる。

13. MITRE ATT&CKマッピング

  • High Confidence: T1566.001 Spearphishing Attachment相当の悪意あるメール（添付ファイルがないためサブテクニックとは厳密に一致しない）、T1203 Exploitation for Client Execution、T1056.002 Input Capture: GUI Input Capture、T1528 Steal Application Access Token、T1098 Account Manipulation、T1114 Email Collection、T1102.003 One-Way Communication。
  • Medium Confidence: T1539 Steal Web Session Cookie、T1556 Modify Authentication Process、T1071.001 Web Protocols。

14. 不明点および追加調査

  • 影響を受けるExchangeビルドおよびパッチ状況
  • 実際に窃取されたメールおよび認証情報の範囲
  • GitHubおよびメール以外のC2インフラストラクチャ
  • グローバルな標的および被害者

15. SOCへの影響

政府、通信、金融、ホスピタリティ、航空宇宙分野の組織が標的となっており、世界中の企業に関連する。オンプレミスExchangeまたはOWAを利用する組織は、SOCの調査範囲にExchange監査、ブラウザストレージ、メールボックスACLを含める必要があり、エンドポイントEDRだけでは不十分である。

16. 役割別要約

  • SOC向け: メール開封、OWA設定、ACL、GitHub APIをタイムラインで相関させる。デバイス痕跡がないからといってシステムが安全であると仮定してはならない。
  • 管理者向け: Exchangeを更新し、全フォルダーACL、アドイン、トークン、OWA設定を確認する。
  • ユーザー向け: 添付ファイルやリンクがなくても、OWAで開封した見覚えのない案内メールは報告する。