اكتشاف الحملة الجديدة

أكد باحثون في شركة Proofpoint أن مجموعة التجسس الروسية (TA488) وسعت نطاق هجماتها من منصة Zimbra إلى Outlook Web Access (OWA) المعتمد على خوادم Exchange المحلية. وتعتمد التقنية الجديدة على استغلال ثغرة XSS (CVE-2026-42897) في OWA، مما يمكّن المهاجمين من تنفيذ أكواد جافا سكريبت ضارة لحظة فتح الضحية لبريد إلكتروني مفخخ عبر واجهة OWA، حتى دون النقر على أي روابط أو تحميل ملفات.

القطاعات المستهدفة

وأوضح الباحثون أن الحملة تستهدف القطاع الحكومي في الولايات المتحدة وأوروبا، بالإضافة إلى قطاعات الاتصالات والخدمات المالية والضيافة والطيران. ويُعتقد أن الحملة واسعة النطاق تهدف إلى التخفي بين كم البريد اليومي العادي وإرباك الدفاعات الأمنية، خلافًا للهجمات الموجهة بدقة المعتادة في عالم التجسس الإلكتروني.

الأثر والتحليل

وأشار التحليل إلى أن الخطر الأساسي يأتي من زرع برنامج تجسس داخل متصفح البريد يعرف باسم OWAReaper، الذي لا يترك عادة أي أثر على النظام نفسه، ويتصل بقنوات سيطرة خارجية بطرق متعددة لتسريب البيانات. ويظل نشطًا حتى عند تغيير كلمة المرور أو إعادة تهيئة الجهاز بالكامل، لأن مقر الخطر في البريد نفسه وليس نظام التشغيل.

الثغرة المستخدمة قبل الإعلان عنها

وأشارت تحليلات Proofpoint إلى أن المجموعة ربما استخدمت الثغرة قبل إعلان مايكروسوفت عنها في مايو بوقت طويل، أي أن المهاجمين كانوا يستغلون الثغرة قبل توفر تحديث الحماية. ولم تصدر مايكروسوفت حتى الآن تعليقًا على التقرير.