מייל אחד נכנס לתיבה. אתם פותחים אותו בממשק ה-webmail של הארגון, ומולכם הודעה סתמית לגמרי: משהו על שרשרת אספקה של מוליכים למחצה, כמה אייקונים של רשתות חברתיות בתחתית. לא לחצתם על קישור, לא פתחתם קובץ מצורף. עצם הפתיחה של ההודעה בדפדפן כבר הריצה קוד של התוקף, ובתוך שניות הוא השיג גישה קבועה לתיבה שלכם, כזו ששורדת גם אם תחליפו סיסמה אחר כך.

זה בדיוק מה שחוקרי Proofpoint מתארים בדוח חדש על קבוצת ריגול רוסית שהם מסמנים TA488 (מוכרת גם בשמות Laundry Bear ו-Void Blizzard). הקבוצה מנצלת חולשה ב-Outlook Web Access, ממשק ה-webmail של שרתי Exchange מקומיים, ומשתילה דרכה נוזקה שהחוקרים קראו לה OWAReaper. Proofpoint מתארים אותה כדלת האחורית מסוג "חצי-קליק" המתוחכמת ביותר שראו עד היום. בהמשך נראה למה "חצי-קליק", איך הנוזקה חיה כולה בתוך הדפדפן בלי להשאיר עקבות במחשב, ולמה דווקא הדרך שבה היא נשארת שם היא החלק שמדאיג את החוקרים.

החולשה: קוד שרץ ברגע שפותחים הודעה

בלב הסיפור עומדת בעיה פשוטה בשרת: כשמישהו פותח מייל בדפדפן, שרת ה-Exchange לא מסנן כראוי את קוד ה-HTML שבגוף ההודעה. משמעות הדבר היא שתוקף יכול להטמיע בתוך מייל שנראה תמים קוד JavaScript, שירוץ בדפדפן של מי שפותח את ההודעה, בתוך ההקשר המאובטח של החשבון שלו. לסוג החולשה הזה קוראים XSS (Cross-Site Scripting), והמזהה הרשמי שלה הוא CVE-2026-42897.

Proofpoint מכנים את מחלקת ההתקפות הזאת "חצי-קליק": פישינג רגיל דורש שהקורבן ילחץ על קישור או יאשר משהו, וכאן מספיק שההודעה תיפתח בחלונית התצוגה כדי שהקוד ירוץ. מיקרוסופט דירגה את חומרת החולשה 8.1, גבוה מהציון 6.1 שנתן לה מאגר החולשות של NIST, ופער כזה בין הספק למאגר נובע בדרך כלל מהערכה שונה של כמה מעשי לנצל את החולשה בשטח. במקרה הזה מיקרוסופט אישרה כבר בגילוי, ב-14 במאי 2026, שהחולשה מנוצלת בפועל.

הקוד עצמו מוסתר בצורה מוקפדת. סקריפט טעינה קצר משתמש באירוע onload כדי לאסוף פיסות של טקסט מקודד ב-Base64 שפזורות בתוך ההודעה, חלקן מוסתרות בתוך אייקונים של רשתות חברתיות, ומרכיב מהן את המטען המלא. הדבר הראשון ש-OWAReaper עושה אחרי שהיא רצה: היא כותבת מחדש את ההודעה על שרת ה-Exchange ומוחקת מתוכה את קוד ההתקפה. הקורבן, וגם חוקר שיבדוק את התיבה אחר כך, יראו מייל נקי לגמרי.

נוזקה שאין לה קובץ ואין לה תהליך

כל מה ש-OWAReaper עושה קורה בתוך הדפדפן, בהקשר של דף ה-OWA. אין קובץ שנשמר על הדיסק, אין תהליך חדש שנפתח במחשב, וזו בדיוק הסיבה שכלי אבטחה שמנטרים את תחנת הקצה מתקשים לראות אותה. הנוזקה מכבה את חלונות הקופצים ואת תפריט הלחיצה הימנית ב-OWA כדי לצמצם הפרעות, יוצרת מפתח הצפנה ייחודי לכל קורבן, ואוספת את כתובת המייל, שם המשתמש והגדרות התיבה.

כדי לגנוב את פרטי האימות היא נעזרת בטריק פשוט: היא מזריקה לדף שדות קלט נסתרים, והדפדפן ממלא אותם אוטומטית בסיסמאות ששמורות בו. את עצמה, ואת עוטף הפענוח שמריץ אותה, היא מקודדת ושומרת בזיכרון המקומי של הדפדפן (localStorage) תחת שם שנראה כמו הגדרה שגרתית של OWA. כך היא נטענת מחדש בכל פעם שהקורבן פותח את התיבה.

החלק המדאיג: איך היא נשארת בפנים

עד כאן זו נוזקה חכמה אבל לא חסרת תקדים. מה שהופך את OWAReaper למסוכנת באמת הוא האופן שבו היא משיגה אחיזה קבועה, בשתי דרכים מקבילות.

הראשונה פועלת על השרת עצמו. הנוזקה מחפשת תוספים (add-ins) של Outlook שכבר יש להם הרשאת ReadWriteMailbox, גונבת מהם token-ים של OAuth, ואז מעניקה הרשאת Owner מלאה על התיבה למשתמש שנקרא "Default". ה-Default הזה הוא הגדרת הרשאות מובנית שקיימת בכל ארגון Exchange, וברגע שהוא מקבל הרשאת Owner, כל חשבון מאומת בארגון יכול לקרוא את התיבה. ההרשאה הזאת לא נמחקת כשמחליפים סיסמה, ולא כשמתקינים את התיקון, ולא כשמפרמטים ומתקינים מחדש את מערכת ההפעלה של הקורבן. היא פשוט נשארת שם, רשומה בהגדרות התיבה.

הדרך השנייה פועלת בצד הלקוח. OWAReaper מזריקה iframe-ים נסתרים להודעות ששמורות במטמון הלא-מקוון של OWA, אותו מאגר מקומי בדפדפן שנקרא IndexedDB. בכל פעם שהקורבן פותח אחת מההודעות המורעלות האלה מהמטמון, הקוד רץ מחדש. פירמוט של המחשב לא עוזר: ברגע שהמשתמש נכנס שוב ל-OWA ופותח הודעה ישנה, הנוזקה חוזרת לחיים.

GitHub כשרת שליטה

גם ערוץ השליטה של OWAReaper בנוי כדי לא לבלוט. במקום לפנות לשרת חשוד, הנוזקה שולפת פקודות ממקום לגיטימי לגמרי: היא פונה פעם ביום ל-Commit Search API של GitHub ומחפשת הודעות commit שמכילות את כתובת המייל של הקורבן, מפענחת מהן את הפקודות בעזרת מפתחות מוטמעים, ומריצה אותן. הפקודות מגיעות בשלושה סוגים: החלפת הקוד של הנוזקה בגרסה חדשה, החלפת שרת השליטה, והרצת קוד חופשי שהתוקף שולח. ערוץ חלופי קורא פקודות ישירות מתוך הודעות דואר נכנסות, כשהנוזקה סורקת את המטמון המקומי כל חמש דקות.

גם הוצאת המידע החוצה מתחבאת בתעבורה תמימה. הנתיב הראשי מצפין את הנתונים ומעביר אותם דרך שירותי proxy של תמונות ורשתות תוכן מוכרות בדרכם לשרת האיסוף, כך שמנקודת מבט של מערכת ניטור רשת נראה שהדפדפן פשוט טוען תמונות. כשהערוץ הזה חסום, הנוזקה נופלת חזרה לערוץ שקשה עוד יותר לחסום: היא מקודדת את המידע ומבריחה אותו בתוך שאילתות DNS, כתובות אתרים שנראות אקראיות שמופנות לשרתים של התוקף. "OWAReaper רצה בתוך הקשר הדפדפן של OWA, כשתל חמקן שאינו מותיר עקבות על המחשב, עם שני ערוצי שליטה ושני פרוטוקולי הוצאת מידע", כתבו החוקרים.

מ-Zimbra ל-Outlook: אותה שיטה, יעד חדש

המהלך הזה לא חדש עבור TA488. לפי Proofpoint ו-The Hacker News, הקבוצה הפעילה בדיוק את אותה שיטת "חצי-קליק" נגד שרתי webmail של Zimbra בקמפיין קודם עם נוזקה בשם ZimReaper, שרץ מיולי 2025 עד שהחולשה (CVE-2025-66376) תוקנה כעבור כארבעה חודשים. אותה גישה, אותה מטרה: ריגול דרך תיבות הדואר, גניבת פרטי אימות והודעות, ומעקב אחרי גופים ממשלתיים.

התשתית של קמפיין ה-OWA הנוכחי נבנתה כבר במרץ 2026, חודשיים לפני שמיקרוסופט פרסמה את האזהרה במאי. מכאן החוקרים מעריכים שייתכן שהחולשה נוצלה כחולשת יום-אפס עוד לפני שהתיקון יצא, אם כי זו הערכה שלהם ולא עובדה מאומתת. הפעילות שנצפתה בגל הנוכחי החלה ב-22 ביולי 2026, אחרי כמה חודשים שבהם הקבוצה שמרה על שקט. לפי הדוח, היעדים כוללים גופי ממשל בארצות הברית ובאירופה, וכן חברות בתחומי הטלקום, הפיננסים, התיירות והתעופה. מספר הקורבנות המדויק לא פורסם.

מה זה אומר בפועל

החולשה נוגעת רק למי שמפעיל שרת Exchange מקומי משלו (גרסאות 2016, 2019 ו-Subscription Edition); לקוחות Exchange Online אינם מושפעים. אם אתם בקבוצה הראשונה, התקינו את העדכון של מיקרוסופט וּודאו ששירות המיטיגציה החירומי (EEMS) פעיל, שכן הוא חוסם את ניצול החולשה ברמת השרת. אבל התיקון לבדו לא מספיק כאן: תוקף שכבר הספיק להעניק למשתמש Default הרשאת Owner ממשיך להחזיק בגישה גם אחרי העדכון. שווה לעבור על הרשאות התיבות בארגון ולחפש הענקות חריגות למשתמש Default, ולבדוק אילו תוספי Outlook מחזיקים בהרשאות רחבות מדי.