Proofpoint’in son incelemesine göre Laundry Bear olarak izlenen grup, Microsoft Outlook Web Access’taki bir açık üzerinden kurumların e-posta kutularına kalıcı erişim sağlamaya başladı. Kampanya 22 Temmuz 2026’da öne çıktı ve ABD ile Avrupa’daki kamu kurumlarının yanı sıra telekomünikasyon, finans, konaklama ve havacılık sektörlerini hedef aldı.
Saldırganlar, CVE-2026-42897 numaralı, CVSS puanı 8,1 olan cross-site scripting (XSS) açığını kullandı. Microsoft, bu açığın saldırılarda Mayıs 2026’ya kadar uzanan bir geçmişi olduğunu daha önce işaret etmişti: https://nvd.nist.gov/vuln/detail/CVE-2026-42897
Proofpoint, bu faaliyeti Laundry Bear grubuna, yani CL-STA-1114, TA488, UNK_PitStop ve Void Blizzard adlarıyla da izlenen yapıya bağladı. Aynı grubun daha önce Zimbra’nın Classic UI arayüzündeki CVE-2025-66376 açığını da en az Temmuz 2025’ten itibaren sıfırıncı gün olarak kullandığı, yama ise dört ay sonra yayımlandığı belirtildi: https://nvd.nist.gov/vuln/detail/CVE-2025-66376
Zimbra saldırılarında tehdit aktörleri, Proton Mail’de açılmış veya daha önce ele geçirilmiş hesaplardan mesaj gönderdi. Mesaj görüntülendiği anda CVE-2025-66376 tetiklendi ve sonunda ZimReaper adı verilen JavaScript yükü devreye girdi. Bu yükün, kurbanın son 90 günlük postasını ve başka değerli verileri toplayabildiği aktarıldı.
Proofpoint araştırmacıları Greg Lesnewich, Stuart Del Caliz, Nick Attfield, Konstantin Klinger, Saher Naumaan ve Mark Kelly, TA488’in şimdi de benzer bir half-click yaklaşımını büyüttüğünü yazdı. Bu yöntemde e-postayı açmak istismar için yeterli oluyor; kullanıcıdan ek bir tıklama, bağlantı açma ya da dosya indirme istenmiyor.
Bu yeni dalgada da zincir, ele geçirilmiş hesaplarla gönderilen mesajlara dayanıyor. E-postaların sayısının önceki TA488 kampanyalarına göre belirgin biçimde artması ve hedef yelpazesinin genişlemesi, araştırmacılara göre toplu spam akışına karışmak ve fark edilmeden ilerlemek için bilinçli bir tercih.
Mesajlar genellikle belirsiz içerikler taşıyor ve alıcıdan bir işlem beklemiyor. Tedarik zinciri analizleri, araştırma güncellemeleri ya da turizm ve gaz piyasalarına ilişkin ölçümler gibi konu başlıkları kullanılarak, sıradan bilgilendirme e-postası izlenimi oluşturuluyor. Bilerek bağlantı ya da ek eklenmemesi de bu zincirin parçası; amaç, kurbanın şüphelenmesini azaltıp mesajı açma ihtimalini yükseltmek.
İstismar, e-posta gövdesindeki HTML içinde yer alan sosyal medya ikonlarına gizlenmiş yüklerle tetikleniyor. JavaScript yükleyicisi, onload= olay işleyicisini kullanarak mesajın geri kalanını ayrıştırıyor, bir Base64 parçasını birleştiriyor ve bunu kodlanmış JavaScript olarak çalıştırıyor. Proofpoint, ilk tetikleyici ile ilgili yük bloklarının sosyal medya simgelerine yerleştirildiğini, bir sonraki aşamadaki verinin ise Base64 görselleri ayrıştırılırken tarayıcının durduğu # işaretlerinden sonra taşındığını anlattı.
Bu yapı, mesajın kendisini de istismar zincirinin parçası haline getiriyor. Proofpoint’e göre tarayıcı, HTML içeriğini işlerken sosyal medya ikonlarını sıradan görsel öğeler gibi açıyor; kötü amaçlı veri ise bu görünür unsurların içine gizleniyor. Böylece kullanıcıdan gelen bir etkileşim olmadan, yalnızca e-postanın görüntülenmesi sırasında komutun ilk aşaması devreye giriyor.
Kampanyanın kullandığı teknik, görünüşte sade e-postaları taşıyıcı olarak kullanıyor. Araştırmacılar, bu tür iletilerde URL ya da ek bulunmamasının özellikle seçildiğini; bunun da mesajı alışılmış bir bilgilendirme notu gibi gösterip şüpheyi azaltmaya yaradığını belirtti. Aynı nedenle alıcı, mesajı hızlıca açıp okuyabiliyor ve istismar zinciri tam da bu anda tetikleniyor.
Proofpoint, yeni dalgada e-posta sayısındaki artışı ve hedef çeşitliliğini önceki TA488 faaliyetlerinden ayrılan bir özellik olarak değerlendirdi. Şirketin gözlemine göre kampanya, hükümet ve savunma istihbaratına yönelik öncelikleri korurken farklı sektörlere de yayılıyor. Bu nedenle kamu kurumlarının yanında telekomünikasyon, finans, konaklama ve havacılık alanları da aynı dalga içinde yer aldı.
OWAReaper: tarayıcı içinde yaşayan arka kapı
CVE-2026-42897 çevresindeki yeni istismar dalgası, OWAReaper kod adlı ve Microsoft’un webmail istemcisinde kalıcı erişim için tasarlanmış, daha önce bilinmeyen bir JavaScript implantının kurulmasıyla sonuçlanıyor. Araştırmacılar bu arka kapıyı, half-click zincirleriyle taşınan en gelişmiş yüklerden biri olarak tanımlıyor; kod yapısı ve davranışları, ZimReaper ile güçlü benzerlikler gösteriyor.
OWAReaper, OWA’nın okuma panelinde çalışıyor. Çalıştırıldıktan sonra Outlook API’lerini kullanarak Exchange sunucusundaki e-postayı yeniden yazıyor ve istismar içeriğini mesajdan temizliyor. Aynı anda OWA açılır pencerelerini ve sağ tıklamayı devre dışı bırakıyor, hedefe özgü bir oturum anahtarı oluşturuyor, ardından kurbanın e-posta adresini, kullanıcı adını ve Outlook ayarlarını topluyor.
Arka kapı daha sonra, tarayıcının otomatik doldurma özelliğiyle OWA kayıtlı kimlik bilgilerini çekebilmek için sayfanın Document Object Model yapısına görünmez iki giriş alanı ekliyor. Bunun ardından kendisinin şifrelenmiş bir sürümünü ve çözme sarmalayıcısını browser localStorage içine yazıyor. Böylece kullanıcı fark etmeden her OWA sekmesi açıldığında kötü amaçlı kod yeniden devreye giriyor.
Araştırmaya göre OWAReaper, yüklü Outlook eklentilerini de tarıyor. ReadWriteMailbox izinleri olan bir eklenti bulursa bunları OAuth token’larını çalmak için kullanıyor ve Default kullanıcısına, her posta klasörü üzerinde Owner düzeyinde yetki veriyor. Bu işlem, aynı organizasyondaki kimliği doğrulanmış herhangi bir kullanıcıya tam posta kutusu erişimi sağlıyor.
Proofpoint, bunun bulaşma zincirindeki kilit adımlardan biri olduğunu vurguladı. TA488’in organizasyon içindeki başka hesaplara da erişimi varsa, grup hedefin posta kutusundaki kalıcı varlığını koruyabiliyor. Araştırmacılara göre bu erişim sunucu tarafında yaşıyor; etkinin ortadan kalkması için Exchange sunucusundan bilinçli biçimde temizlenmesi gerekiyor. Kimlik bilgisi rotasyonu ya da hedef kullanıcının cihazının tamamen yeniden kurulması, saldırganı sistemden atmaya yetmiyor.
Arka kapının kalıcılığı tek bir mekanizmaya dayanmıyor. İlk yöntemde localStorage içine yazılan şifreli bileşen, OWA sekmesi tekrar açıldığında kendini yeniden çalıştırıyor. İkinci yöntemde ise OWA’nın çevrimdışı IndexedDB mesaj önbelleğine gizli bir iframe ekleniyor ve kötü amaçlı içerik önbellekten açılan her iletide yeniden devreye giriyor. Bu düzen, cihaz yeniden kurulduktan sonra bile bulaşmanın sürmesine izin veriyor.
Kalıcı iz, iki komuta kanalı ve veri sızdırma yolları
OWAReaper ikinci bir kalıcılık yöntemi daha kullanıyor. OWA’nın çevrimdışı IndexedDB mesaj önbelleğinde tutulan iletilere gizli bir iframe ekliyor ve önbelleklemeyi etkinleştiriyor. Kurban kötü amaçlı e-postayı önbellekten her açtığında iframe çalışıyor ve cihaz yeniden kurulmuş olsa bile bulaşma yeniden başlıyor.
Komuta ve kontrol tarafında da iki ayrı yol kullanılıyor. İlk yöntemde GitHub devreye giriyor; script, her 24 saatte bir GitHub’ın Commit Search API’sini yoklayarak hedefin e-posta adresini içeren commit mesajı arıyor. Böyle bir kayıt bulunursa veri, JavaScript içindeki sabit bir anahtar ile oturum başına üretilen bir AES anahtarı kullanılarak çözülüyor. Bu düzen, komutların üçüncü taraflarca kolayca okunmasını engellemeye dönük bir koruma katmanı olarak değerlendiriliyor.
Çözülen içerik dört karakterlik bir başlık taşıyor. code, OWAReaper’ın tüm araç seti kodunu değiştirmek için; domn, komuta-kontrol sunucularını döndürmek için; cmnd ise eval() üzerinden rastgele JavaScript çalıştırmak için kullanılıyor.
İkinci yöntem, TA488 operatörlerinin gönderdiği gelen e-postaları ayrıştırıyor. Script, IndexedDB içinde {hedef_e-posta_adresi}{boşluk}{Base64metin} yapısına sahip mesaj gövdelerini arıyor ve aynı tip komutları bu kanal üzerinden de işleyebiliyor.
Veri sızdırma aşamasında ilk tercih HTTPS üzerinden AES-CTR ile şifrelenmiş URI yolları. Bu yöntem başarısız olursa, kötü amaçlı kod veriyi DNS label tunneling ile standart DNS sorgularının içine gizleyerek saldırganın kontrolündeki alan adına taşıyor.
Proofpoint, kampanyada kullanılan en erken altyapının Mart 2026’da kurulduğunu da not etti. Bu tarih, Microsoft’un CVE-2026-42897’i duyurmasından iki ay öncesine denk geliyor ve açığın o tarihten önce sıfırıncı gün olarak kullanılmış olabileceği ihtimalini gündeme getiriyor. Şirket ayrıca Şubat ile 22 Temmuz 2026 arasında TA488’e ait başka bir faaliyete rastlamadığını bildirdi.
Kuruma göre OWAReaper, tarayıcı bağlamında çalışan, ana makinede iz bırakmayan bir implant gibi davranıyor; iki komuta-kanalına ve iki veri sızdırma protokolüne sahip. Proofpoint araştırmacıları, kodun tarayıcı yeniden başlatmalarını, kimlik bilgisi rotasyonunu ve kurban cihazının tamamen yeniden görüntülenmesini atlatabildiğini söyledi.
Yayımlanan analizde TA488’in kamu ve savunma istihbaratına öncelik verirken farklı sektörlere de ilgi gösterdiği, kullanılan yem temalarının ise özellikle sıradan tutulduğu belirtildi. Böylece alıcı mesajı açmaya ve hızlıca göz atmaya daha yatkın oluyor, ancak içeriği tehdit olarak fark etmeyebiliyor.