O seu e-mail no OWA pode entregar tudo — mesmo depois de mudar a palavra-passe

Um grupo de ciberespionagem alinhado com a Rússia está a explorar uma falha no Outlook Web Access (OWA) do Microsoft Exchange para manter acesso persistente às caixas de correio das vítimas — mesmo depois de estas mudarem as credenciais ou reinstalarem o equipamento. Segundo a empresa de segurança Proofpoint, a 22 de julho de 2026 o ator conhecido como TA488 (também Void Blizzard e Laundry Bear) iniciou uma campanha que abusa da CVE-2026-42897, uma vulnerabilidade de cross-site scripting no Outlook Web Access. A ameaça é entregue através de um “half-click exploit”: basta abrir o e-mail para desencadear a infeção, sem clicar em ligações nem abrir anexos.

O que é o “half-click” e porque é tão perigoso

A maioria dos ataques por e-mail exige uma ação da vítima: clicar num link ou abrir um anexo. Este não. Se a mensagem for aberta no Outlook Webmail, o servidor Exchange processa incorretamente o HTML e executa JavaScript arbitrário. A Proofpoint chama a esta técnica “half-click exploit”, precisamente porque abrir a mensagem já é suficiente para despoletar o comprometimento.

Os iscos foram deliberadamente banais. Os assuntos abordavam cadeias de fornecimento de semicondutores, mercados de gás e indicadores de turismo, provavelmente para que o destinatário abrisse e lesse superficialmente a mensagem, descartando-a como spam sem a reportar — não havendo links nem anexos suspeitos a sinalizar. A Proofpoint detetou a atividade a atingir várias organizações, incluindo entidades governamentais dos EUA e da Europa, e empresas dos setores das telecomunicações, financeiro, hotelaria e aeroespacial.

OWAReaper: um backdoor que se recusa a sair

O verdadeiro salto de sofisticação está no que a falha entrega. O OWAReaper é uma evolução do payload ZimReaper, com o qual partilha múltiplas sobreposições comportamentais e de código, e destaca-se por um conjunto subtil de mecanismos de persistência que lhe permitem obter acesso total à caixa de correio de qualquer utilizador autenticado na mesma organização da vítima inicial, tornando-o muito difícil de remover mesmo com rotação de credenciais e reinstalação completa do dispositivo.

É aqui que reside a novidade mais preocupante para as equipas de resposta a incidentes. Como a concessão de permissões de pasta reside do lado do servidor e exige remoção deliberada no Exchange, a rotação de credenciais e a reinstalação do equipamento não expulsam o ator. E mesmo que o dispositivo seja reinstalado, o OWAReaper pode regressar através de um iframe oculto adicionado a mensagens guardadas na cache offline IndexedDB do OWA; o iframe executa novamente caso a vítima abra um e-mail envenenado a partir da cache, reinfetando-se a si própria.

Uma vez em execução, o implante trabalha para não deixar rasto. Recorre às APIs do Outlook para reescrever o e-mail no servidor Exchange e remover o conteúdo do exploit; desativa os pop-ups do OWA e a possibilidade de clicar com o botão direito durante a sua execução; e cria uma chave de sessão única para o alvo antes de recolher o endereço de e-mail, o nome de utilizador e as definições do Outlook. Para receber ordens e enviar dados, usa vários canais. Os comandos chegam via mensagens de commit no GitHub, consultadas diariamente, ou por e-mails recebidos e verificados a cada cinco minutos. A exfiltração é feita sobretudo por HTTPS com caminhos de URI cifrados em AES-CTR e, caso essa via falhe, o malware recorre a túneis de DNS para escoar dados dentro de consultas DNS normais para um domínio controlado pelo atacante.

A vulnerabilidade: CVE-2026-42897

A Microsoft confirmou a 14 de maio que a CVE-2026-42897 — uma falha de cross-site scripting no componente Outlook Web Access do Exchange Server 2016, 2019 e Subscription Edition — estava sob exploração ativa. É importante sublinhar o âmbito: trata-se de uma falha de XSS que afeta o Exchange Server local (on-premises), não o Exchange Online. Quem usa o Microsoft 365 é patcheado centralmente pela Microsoft.

O impacto operacional é significativo mesmo sem execução de código no servidor. O Centre for Cybersecurity Belgium (CCB) alertou que uma exploração bem-sucedida pode dar ao atacante acesso à caixa de correio Outlook e aos tokens de sessão da vítima, permitindo alterações não autorizadas às definições da caixa de correio ou modificações ao conteúdo dos e-mails. O caminho de disseminação foi célere no lado das autoridades: a CISA norte-americana adicionou a vulnerabilidade ao seu catálogo de Known Exploited Vulnerabilities a 15 de maio, dando às agências federais até 29 de maio para aplicar mitigações.

Sobre a cronologia da campanha, a Proofpoint é cautelosa. A empresa notou que a infraestrutura mais antiga usada nesta campanha foi criada em março de 2026, dois meses antes de a Microsoft divulgar a CVE-2026-42897, levantando a possibilidade de ter sido explorada como zero-day; a empresa afirmou ainda não ter detetado qualquer atividade do TA488 entre fevereiro e 22 de julho de 2026. As datas de registo, por si só, não confirmam quando começou a exploração efetiva.

Quem é o TA488 / Laundry Bear

O grupo é rastreado sob vários nomes. A Proofpoint atribui a atividade ao Laundry Bear (também CL-STA-1114, TA488, UNK_PitStop e Void Blizzard), que foi recentemente associado à exploração como zero-day da CVE-2025-66376, uma falha de XSS na interface clássica do Zimbra, desde pelo menos julho de 2025 e até ser corrigida quatro meses depois. As autoridades neerlandesas e a Microsoft identificaram inicialmente o Laundry Bear como grupo APT no ano passado, e procuradores dos EUA ligaram o grupo à empresa russa de TI Yutek-NN, com conexões à agência de informações FSB. Convém notar que a atribuição a nível de país e agência é feita por essas entidades; a Microsoft, na sua advisory original, não atribuiu a exploração a um ator específico.

O que fazer agora: mitigação e deteção

A correção está disponível na Exchange Server Subscription Edition RTM SU7 através da KB5094139, enquanto os utilizadores do Exchange 2016 e 2019 têm de adquirir Extended Security Updates para receber o fix. Passos práticos recomendados:

• Aplicar de imediato a atualização de segurança da Microsoft em todos os servidores Exchange locais e verificar as mitigações do lado do servidor.
• Como a persistência vive do lado do servidor, rever manualmente as permissões de pasta atribuídas nas caixas de correio e revogar concessões suspeitas — a rotação de palavras-passe por si só não é suficiente.
• Procurar regras de caixa de entrada anómalas, reencaminhamentos automáticos para endereços externos e sessões OWA a partir de IP geograficamente atípicos.
• Monitorizar tráfego DNS invulgar (possível tunelamento) e ligações a repositórios GitHub a partir de contexto de servidor de correio.
• Considerar limpar a cache offline IndexedDB do OWA nos clientes potencialmente afetados, dada a reinfeção por iframe oculto.

Adicionalmente, se a mitigação não for viável em 48 horas, remover temporariamente o endpoint OWA da Internet (via configuração do servidor web ou regra de firewall) e encaminhar o acesso ao correio pelas aplicações de desktop ou móveis do Outlook.

Porque é que isto importa em Portugal

Muitas PME e organismos públicos em Portugal ainda mantêm servidores Exchange locais, frequentemente como dívida técnica após migrações parciais para a nuvem. Um OWA exposto à Internet é uma superfície de ataque tentadora, e esta campanha demonstra que o comprometimento pode ocorrer sem qualquer interação consciente do utilizador. Para entidades abrangidas pelo novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a gestão de vulnerabilidades conhecidas e a notificação de incidentes ao CNCS/CERT.PT são obrigações centrais — e um acesso persistente a caixas de correio institucionais pode configurar um incidente com impacto relevante.

Há também uma dimensão de proteção de dados: o roubo de correio pode expor dados pessoais, o que ativa obrigações do RGPD, incluindo a eventual notificação à CNPD e aos titulares dos dados em caso de violação. Manter inventário atualizado dos servidores expostos, aplicar patches com celeridade e monitorizar sessões OWA deixam de ser boas práticas opcionais para se tornarem requisitos de conformidade.

Perguntas frequentes

O Microsoft 365 / Exchange Online está afetado?

Não. A CVE-2026-42897 afeta o Exchange Server local (2016, 2019 e Subscription Edition). O Exchange Online é patcheado centralmente pela Microsoft, embora os utilizadores devam manter vigilância habitual contra vagas de phishing.

Mudar a palavra-passe resolve o problema?

Não por si só. A persistência do OWAReaper assenta em permissões de pasta do lado do servidor, pelo que a rotação de credenciais e até a reinstalação do equipamento podem não expulsar o atacante. É preciso rever e revogar manualmente permissões e concessões suspeitas no Exchange.

Basta mesmo abrir o e-mail para ser infetado?

Neste tipo de ataque “half-click”, abrir a mensagem no Outlook Web Access pode ser suficiente para executar o JavaScript malicioso no contexto da sessão autenticada, sem clicar em links nem abrir anexos.

O que devo fazer se tenho Exchange local?

Aplicar de imediato a atualização de segurança da Microsoft (KB5094139 na Subscription Edition; ESU para 2016/2019), rever permissões de pasta e regras de caixa de entrada, monitorizar tráfego DNS e sessões OWA anómalas e, se necessário, retirar o OWA da exposição direta à Internet até estar corrigido.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Proofpoint, pela Microsoft (advisory MSRC), pela CISA e pelo Centre for Cybersecurity Belgium (CCB).