يتحول برنامج Laundry Bear إلى استغلال جديد بعد أيام من تنبيه Zimbra

بدأ الممثل الروسي الناشئ للتهديد المستمر المتقدم (APT) والذي يطلق عليه اسم Laundry Bear موجة جديدة من نشاط الاستغلال الذي يسيء استخدام خلل البرمجة النصية عبر المواقع (XSS) لبرنامج Microsoft Outlook Web Access (OWA)، بعد ساعات فقط من تنبيه المركز الوطني للأمن السيبراني (NCSC) الذي يوجه الانتباه إلى إساءة استخدام المجموعة لخلل مماثل.

في 23 يوليو، قام تحالف متعدد الجنسيات من السلطات السيبرانية، بما في ذلك NCSC وشركاؤه الأمريكيون، بتفصيل تقنية التصيد الاحتيالي الجديدة “نصف نقرة” لشركة Laundry Bear – التي لا تتطلب أي تفاعل من المستخدم باستثناء فتح بريد إلكتروني ملوث – والتي استفادت من عيب XSS آخر، CVE-2025-66376، في Zimbra Collaboration Suite (ZCS). وقالت الوكالات إن الاستغلال قد تم تطويره على الأرجح بمساعدة نموذج الذكاء الاصطناعي (AI).

ولكن وفقًا لفريق بحث Proofpoint – الذي يتتبع Laundry Bear باسم TA488 – قبل 24 ساعة تقريبًا من كشف NCSC، ركزت المجموعة على خلل OWA، CVE-2026-42897، وهي مشكلة حرجة تنشأ من التحييد غير المناسب للمدخلات أثناء إنشاء صفحات الويب.

تم الكشف عن CVE-2026-42897 بواسطة Microsoft في 14 مايو، بعد وقت قصير من تحديث تصحيح يوم الثلاثاء لشهر مايو، وظهر في كتالوج الثغرات الأمنية المستغلة المعروفة (Kev) التابع لوكالة الأمن السيبراني وأمن البنية التحتية (Cisa’s) بعد ذلك بوقت قصير.

قال فريق Proofpoint، الذي يضم الباحثين جريج ليسنيويتش وستيوارت ديل كاليز ونيك أتفيلد وكونستانتين كلينجر وساهر نعمان ومارك كيلي: “في 22 يوليو 2026 – اليوم السابق لإصدار Proofpoint المشترك مع وكالة الأمن القومي – بدأ TA488 موجة جديدة من استغلال الاستغلال… CVE-2026-42897، في Outlook Web Access (OWA). لم يكن لدى Proofpoint ما يكفي حان الوقت لتحليل النشاط الجديد واتخاذ إجراءات بشأنه ودمجه في التقارير الحالية، لذلك نقوم بإصدار متابعة سريعة لتسليط الضوء على هذا النشاط.

“استخدمت TA488 سلسلة من الحسابات المخترقة لإرسال رسائل بريد إلكتروني مستغلة ثغرة أمنية في Outlook Webmail. استهدفت الحملة كيانات في القطاعات الحكومية، والاتصالات، والمالية، والضيافة، والفضاء. إن حجم الرسائل واتساع نطاق الاستهداف غير معتاد بالنسبة لـ TA488، وربما كان واسع النطاق عن عمد للتوافق مع البريد العشوائي الجماعي وتجنب التدقيق.

“إذا تم فتح البريد الإلكتروني في Outlook Webmail، فإن خادم Outlook Exchange يسيء التعامل مع HTML من الرسالة ويقوم بتشغيل JavaScript عشوائيًا. وهذا ينفذ الحمولة في نص الرسالة، وتستدعي Proofpoint المزروعة OWAReaper”.

وقال الفريق إن OWAReaper كان الباب الخلفي “الأكثر تطورًا” الذي تم تقديمه عبر مثل هذا الاستغلال الذي لاحظته Proofpoint على الإطلاق. تطور حمولة ZImReaper، التي تشترك معها في العديد من التداخلات السلوكية والتشفيرية، تتميز OWAReaper بمجموعة دقيقة من آليات الثبات التي تمكنها من الحصول على وصول كامل إلى صندوق البريد الخاص بأي مستخدم تمت مصادقته في نفس المؤسسة مثل الضحية الأولية وتجعل من الصعب جدًا إزالتها حتى مع تدوير بيانات الاعتماد وإعادة التصوير الكامل لجهاز الهدف.

وحتى إذا تمت إعادة تصوير الجهاز المتأثر، فيمكن لـ OWAReaper العودة عن طريق إطار iframe مخفي يضاف إلى الرسائل المخزنة في ذاكرة التخزين المؤقت لرسائل IndexedDB غير المتصلة بـ OWA. يتم تنفيذ إطار iframe مرة أخرى في حالة قيام الضحية بفتح بريد إلكتروني مسموم من ذاكرة التخزين المؤقت، وبالتالي إعادة إصابة نفسه.

قال Proofpoint إن طريقة العمل الشاملة – مثل استخدام ثغرات XSS بنصف النقرة، واستخدام استخراج DNS المشفر، والتركيز على البريد الإلكتروني وسرقة بيانات الاعتماد – جعلتها واثقة تمامًا من أن Laundry Bear هي القوة الدافعة وراء حملة OWA.

وقالوا إن المجموعة “حسّنت بشكل كبير” إجراءاتها الخاصة بعمليات التشغيل، وكانت تكتب برامج ضارة أكثر دقة وقدرة من ذي قبل. علاوة على ذلك، فإن استهدافها الأوسع لـ OWA يسلط الضوء على خطر أوسع على منظمات المستخدم النهائي من حملة ZCS – على الرغم من ذلك، يبدو أن Laundry Bear لا تزال تستهدف جمع المعلومات الاستخبارية لدعم الأهداف الجيوسياسية لمموليها.

لاحظت Proofpoint أيضًا أن هناك بعض الأدلة التي تشير إلى أن Laundry Bear كانت تسيء استخدام CVE-2026-42897 على نطاق أصغر منذ مارس 2026، مما يشير إلى أنه من الممكن استخدام الخلل كيوم صفر.

وقالوا: “إذا كان هذا هو الحال، فإن التحسين المشترك للبرامج الضارة وتطوير الاستغلال ضد هدف أصعب في Outlook Web Access يشير إلى قفزة في القدرة بواسطة TA488”.