Was ist passiert?
Russische Hacker, die bereits für die Ausnutzung einer Zimbra-Sicherheitslücke bekannt sind, nutzen nun eine neue Schwachstelle in Microsoft Outlook Web Access (OWA) aus. Seit dem 22. Juli 2026 greifen die Angreifer gezielt US- und europäische Behörden sowie Unternehmen aus den Bereichen Telekommunikation, Finanzwesen, Gastgewerbe und Luft- und Raumfahrt an. Die Exploitationskampagne zielt darauf ab, persistenten Zugriff auf Postfächer zu erlangen – auch nach einem Wechsel der Anmeldedaten.
Hintergrund & Bedeutung
Die Ausnutzung von OWA-Schwachstellen stellt eine erhebliche Bedrohung dar, da Mailboxen zentrale Angriffspunkte für Spionage und Datendiebstahl sind. Besonders kritisch ist die Fähigkeit der Angreifer, persistenten Zugriff zu bewahren – selbst wenn Administratoren Passwörter zurücksetzen. Dies deutet auf eine ausgefeilte Exploitationstechnik hin, möglicherweise durch Session-Hijacking oder Token-Manipulation. Die geografische und branchenspezifische Ausrichtung lässt auf staatlich gelenkte Cyberespionage schließen.
Empfehlungen für IT-Teams
Sofortmaßnahmen: Alle OWA-Instanzen auf Patches überprüfen und aktuelle Sicherheitsupdates einspielen. Verdächtige Anmeldungsmuster in Mailbox-Audit-Logs analysieren und ungewöhnliche Zugriffe untersuchen.
Mittelfristig: Multi-Faktor-Authentifizierung (MFA) für alle Benutzer erzwingen. Conditional Access Policies implementieren, um verdächtige Anmeldungen zu blockieren. Regelmäßige Sicherheits-Audits und Penetrationstests durchführen.
Langfristig: Zero-Trust-Architektur etablieren und kontinuierliches Monitoring von E-Mail-Aktivitäten aufbauen.
Fazit
Diese Kampagne unterstreicht die Notwendigkeit proaktiver Sicherheitsmaßnahmen bei kritischer Infrastruktur. Organisationen sollten unverzüglich handeln und ihre E-Mail-Sicherheit überprüfen.
Quelle: Original Artikel