Treinamentos de conscientização costumam repetir duas recomendações: não clicar em links desconhecidos e não abrir anexos suspeitos. Essas orientações continuam importantes, mas não cobrem todos os ataques contra o e-mail corporativo.
Uma campanha identificada em julho de 2026 mostrou um cenário mais crítico. Ao explorar a vulnerabilidade CVE-2026-42897 no Outlook Web Access, o atacante precisava apenas que a vítima abrisse uma mensagem especialmente preparada em uma versão vulnerável do OWA. Não havia necessidade de clicar em link, baixar arquivo ou executar programa.
O ataque implantava o OWAReaper, um código JavaScript desenvolvido para operar dentro do contexto autenticado do webmail. Entre suas capacidades estavam a coleta de informações da conta, o roubo de tokens e credenciais em determinadas condições, a alteração de permissões da caixa de correio e a criação de mecanismos de persistência.
O caso reforça uma lição importante para empresas que mantêm Exchange Server local ou ambientes híbridos: segurança de e-mail não depende apenas do comportamento do usuário. Ela também exige atualização do servidor, controle de privilégios, auditoria das caixas de correio, monitoramento de identidade e capacidade de resposta a incidentes.
O que é o OWAReaper?
O OWAReaper é um implante JavaScript para Outlook Web Access associado a uma campanha do grupo Laundry Bear, também identificado como Void Blizzard e TA488. Ele explora a CVE-2026-42897, uma vulnerabilidade de cross-site scripting, ou XSS, em versões locais do Exchange Server.
Em definição direta: o OWAReaper é um código malicioso executado no navegador quando uma mensagem preparada é aberta em um OWA vulnerável. Ele atua dentro da sessão autenticada do usuário e pode criar formas de manter acesso à caixa de correio mesmo depois de medidas tradicionais de contenção.
A falha está relacionada ao tratamento inadequado de conteúdo HTML presente no corpo da mensagem. Isso permite que JavaScript controlado pelo invasor seja executado no contexto do navegador quando o e-mail é visualizado.
Na prática, uma mensagem pode parecer apenas um comunicado comum. O usuário abre, lê rapidamente e fecha. Enquanto isso, o conteúdo malicioso é processado pela interface vulnerável.
Esse tipo de exploração foi chamado pela Proofpoint de half-click, ou “meio clique”. A expressão indica que não é necessário clicar em um link ou anexo: abrir a mensagem no webmail já pode acionar a exploração.
Por que ataques contra o OWA se tornaram importantes?
O e-mail reúne informações que ajudam um invasor a compreender a empresa, seus projetos e seus relacionamentos. Uma caixa de correio comprometida pode expor conversas internas, documentos, contatos, agendas e processos de autenticação.
No caso analisado, a campanha começou em 22 de julho de 2026 e atingiu organizações governamentais dos Estados Unidos e da Europa, além de empresas dos segmentos de telecomunicações, finanças, hotelaria e aeroespacial.
Os e-mails utilizados não dependiam de apelos urgentes ou anexos claramente suspeitos. As mensagens tratavam de assuntos genéricos, como análises de cadeia de suprimentos, atualizações de pesquisa e indicadores de turismo ou mercado de gás. A aparente normalidade favorecia a abertura e reduzia a chance de denúncia.
Aqui está o principal ganho de informação para equipes de TI: o problema não está somente na engenharia social, mas na combinação entre conteúdo recebido e uma aplicação vulnerável.
Um usuário pode seguir corretamente as orientações de não clicar e não baixar arquivos, mas ainda assim ser exposto se o cliente web executar código malicioso ao renderizar uma mensagem.
Isso não torna a conscientização inútil. Significa que ela deve ser uma camada dentro de uma estratégia maior, acompanhada de:
- gestão contínua de vulnerabilidades;
- atualização dos servidores;
- limitação de privilégios;
- auditoria das caixas de correio;
- monitoramento de identidades e tokens;
- correlação de eventos;
- resposta estruturada a incidentes.
A vulnerabilidade afetou todo o Microsoft 365?
Não.
A CVE-2026-42897 afetou versões locais do Exchange Server, incluindo Exchange Server 2016, 2019 e Subscription Edition. Segundo a orientação publicada pela Microsoft, o Exchange Online não foi afetado por essa vulnerabilidade específica.
Essa distinção é essencial.
Empresas que utilizam Microsoft 365 com o correio totalmente operado no Exchange Online não devem interpretar o incidente como uma exploração direta desse serviço. Por outro lado, organizações com Exchange Server local, OWA publicado externamente ou coexistência híbrida precisam verificar quais componentes ainda estão presentes e expostos.
Um ambiente híbrido pode conter servidores locais utilizados para administração, relay, coexistência ou outros processos. Por isso, não basta dizer que a empresa “já está na nuvem”. É necessário conhecer a arquitetura real.
Como o ataque funciona na prática?
A cadeia de ataque pode ser compreendida em etapas.
1. O atacante envia uma mensagem especialmente preparada
A mensagem contém HTML manipulado e elementos usados para carregar o código malicioso. Nas campanhas observadas, os assuntos eram genéricos e não exigiam nenhuma ação explícita do destinatário.
2. A vítima abre a mensagem no OWA vulnerável
Quando a mensagem é aberta no painel de leitura, a aplicação trata de forma inadequada o conteúdo HTML. Isso permite a execução de JavaScript dentro da sessão autenticada do usuário.
3. O OWAReaper é executado no navegador
O implante atua diretamente no contexto do OWA. Segundo a análise publicada, ele pode reescrever a mensagem armazenada no servidor para remover o conteúdo utilizado na exploração, reduzindo os vestígios visíveis ao usuário.
4. São coletadas informações da conta
O código obtém informações como endereço de e-mail, nome de usuário e configurações do Outlook. Ele também tenta capturar credenciais salvas por meio de elementos invisíveis preenchidos automaticamente pelo navegador.
5. Tokens e permissões podem ser utilizados para persistência
O OWAReaper procura suplementos do Outlook com permissão ReadWriteMailbox. Quando encontra uma condição adequada, pode tentar obter tokens OAuth e alterar permissões das pastas da caixa de correio.
6. O acesso pode sobreviver às medidas tradicionais
Como determinadas permissões ficam armazenadas no servidor, apenas trocar a senha ou reinstalar o computador não necessariamente encerra o acesso. A remoção exige investigar e corrigir permissões, tokens, sessões e mecanismos de persistência relacionados ao ambiente Exchange.
Por que trocar a senha pode não resolver?
Trocar a senha é uma medida importante quando há suspeita de comprometimento. Porém, ela não deve ser tratada como resposta completa.
Se o invasor alterou permissões da caixa, obteve um token OAuth ou criou outro mecanismo de persistência, a nova senha pode proteger apenas uma das formas de acesso.
No caso do OWAReaper, o mecanismo mais preocupante envolvia a concessão de permissões de proprietário ao usuário “Default” nas pastas da caixa de correio. Isso poderia permitir que outro usuário já autenticado na organização acessasse o conteúdo comprometido.
A persistência estava no lado do servidor. Portanto:
- formatar o computador não alterava as permissões do Exchange;
- reinstalar o Outlook não removia configurações da caixa;
- trocar a senha não revogava automaticamente todos os tokens;
- encerrar uma sessão não eliminava outros mecanismos de acesso.
A resposta precisa analisar o ecossistema completo da identidade e do e-mail, não apenas o dispositivo utilizado pela vítima.
Principais desafios para as empresas
Falta de inventário do ambiente Exchange
Algumas empresas não têm clareza sobre quais versões estão em operação, quais servidores permanecem ativos e quais serviços estão publicados na internet.
Sem inventário, a equipe pode acreditar que o problema não se aplica ao ambiente quando ainda existem componentes locais vulneráveis.
Atualizações aplicadas com atraso
Servidores de e-mail costumam ser considerados críticos demais para receber atualizações sem planejamento. O problema é que adiar indefinidamente uma correção mantém uma superfície sensível exposta.
A Microsoft informou que as atualizações de segurança de julho de 2026 removeram a necessidade de manter a mitigação temporária da CVE-2026-42897.
Auditoria limitada de permissões
Permissões de caixa de correio podem se acumular ao longo do tempo. Delegações antigas, acessos compartilhados e configurações excessivas dificultam a identificação de alterações maliciosas.
Logs analisados separadamente
O evento relevante pode estar distribuído entre registros do Exchange, autenticação, identidade, alterações administrativas e rede.
Quando cada fonte é acompanhada isoladamente, a empresa perde contexto. Uma sequência de eventos aparentemente comuns pode representar um incidente quando analisada em conjunto.
Resposta focada apenas no endpoint
A formatação do computador pode remover ameaças instaladas localmente, mas não corrige automaticamente permissões e tokens mantidos no servidor.
Como reduzir o risco em ambientes Exchange e Microsoft 365
1. Confirme as versões em operação
Mantenha um inventário atualizado de servidores Exchange, versões, funções, integrações e serviços publicados.
Inclua servidores mantidos por razões administrativas ou de coexistência híbrida. Um componente pouco utilizado ainda pode representar uma superfície de ataque.
2. Aplique as atualizações de segurança
Verifique as orientações oficiais para a versão instalada e valide se as atualizações correspondentes foram aplicadas corretamente.
No caso da CVE-2026-42897, a orientação oficial incluiu mitigação pelo Exchange Emergency Mitigation Service e atualização posterior do Exchange Server.
3. Revise a exposição externa do OWA
Avalie se o acesso externo é realmente necessário para todos os públicos e cenários.
Quando a publicação for necessária, ela deve fazer parte de uma arquitetura com autenticação adequada, proteção de acesso, monitoramento e processo regular de atualização.
4. Audite permissões das caixas de correio
Procure permissões inesperadas, excessivas ou concedidas a identidades genéricas.
A revisão deve abranger:
- acesso total à caixa;
- envio como outro usuário;
- envio em nome de;
- delegações;
- permissões por pasta;
- suplementos com acesso elevado;
- alterações recentes.
5. Revise tokens, sessões e aplicativos integrados
Em uma investigação, não limite a contenção à troca de senha. Verifique tokens ativos, sessões autenticadas, aplicativos conectados e permissões OAuth relevantes.
6. Correlacione eventos
Cruze eventos de e-mail com registros de autenticação, alterações administrativas e atividades incomuns na caixa.
Uma plataforma de gerenciamento de logs ou SIEM pode facilitar essa correlação, especialmente em ambientes com múltiplas fontes.
7. Inclua o Exchange no plano de resposta a incidentes
O procedimento deve explicar como preservar evidências, identificar caixas afetadas, revisar permissões, revogar acessos e validar a erradicação.
Erros comuns
Confiar apenas no treinamento dos usuários
Treinamento não corrige uma vulnerabilidade no servidor. Oriente os colaboradores, mas não substitua patching e monitoramento por campanhas de conscientização.
Achar que uma mensagem sem link é segura
Um e-mail aparentemente simples ainda pode explorar uma falha no mecanismo utilizado para exibi-lo.
Trocar a senha e encerrar o incidente
A troca de senha deve ser acompanhada pela revisão de sessões, tokens, permissões e alterações na caixa.
Formatar o computador sem investigar o servidor
Quando a persistência está no Exchange, reinstalar o endpoint não remove o acesso mantido no lado do servidor.
Confundir Exchange Server com Exchange Online
A vulnerabilidade discutida neste artigo não afetou o Exchange Online. O risco precisa ser analisado conforme os componentes realmente utilizados pela organização.
Manter logs sem utilizá-los
Armazenar eventos não é o mesmo que detectar ameaças. Os registros precisam ser centralizados, correlacionados e associados a alertas e processos de resposta.
Checklist prático para a equipe de TI
- Identificar todos os servidores Exchange locais.
- Registrar versão, build e função de cada servidor.
- Verificar a aplicação das atualizações de segurança.
- Confirmar o funcionamento das mitigações recomendadas.
- Revisar a exposição externa do OWA.
- Auditar permissões das caixas de correio.
- Procurar permissões inesperadas por pasta.
- Revisar suplementos com acesso ReadWriteMailbox.
- Revogar tokens e sessões suspeitas.
- Correlacionar eventos do Exchange, identidade e administração.
- Verificar alterações recentes em caixas e pastas.
- Incluir OWA e Exchange no plano de resposta a incidentes.
- Documentar responsáveis, evidências e critérios de encerramento.
- Validar a erradicação antes de considerar o incidente resolvido.
Como a Dinamio pode ajudar
A Dinamio pode apoiar empresas na avaliação de ambientes Microsoft, principalmente quando existe Exchange Server local, arquitetura híbrida ou dificuldade para relacionar identidade, e-mail e eventos de segurança.
O trabalho pode envolver revisão técnica do ambiente, análise de exposição, auditoria de acessos, hardening, apoio na atualização e monitoramento de sinais de comprometimento.
Soluções como M365 Manager Plus e M365 Security Plus podem apoiar a gestão e a auditoria do ecossistema Microsoft. Já plataformas como Log360 e EventLog Analyzer ajudam a centralizar e correlacionar registros relevantes para investigação e detecção.
Quando a empresa não possui equipe dedicada para acompanhar esses sinais continuamente, serviços de SOC/MSS e resposta a incidentes podem complementar a operação interna.
O objetivo não é adicionar ferramentas sem critério. É construir visibilidade suficiente para responder perguntas fundamentais:
- Quem alterou uma permissão?
- Quando a alteração aconteceu?
- Qual conta realizou a ação?
- Houve autenticação suspeita antes ou depois?
- A caixa continua acessível por outros meios?
- O ambiente foi realmente corrigido?
Perguntas frequentes sobre OWAReaper e segurança do Exchange
O que é o OWAReaper?
É um implante JavaScript criado para atuar dentro do Outlook Web Access. Ele foi utilizado em ataques que exploravam a CVE-2026-42897 em versões locais vulneráveis do Exchange Server.
É necessário clicar em um link?
Não. Na campanha observada, abrir a mensagem preparada no painel de leitura de um OWA vulnerável podia acionar o código.
O Exchange Online foi afetado?
Não pela CVE-2026-42897. A orientação da Microsoft informa que o Exchange Online não foi impactado por essa vulnerabilidade específica.
Quais versões locais foram afetadas?
A orientação oficial cita Exchange Server 2016, Exchange Server 2019 e Exchange Server Subscription Edition.
Trocar a senha elimina o OWAReaper?
Não necessariamente. Permissões alteradas no servidor, tokens obtidos e outros mecanismos de persistência precisam ser investigados e removidos separadamente.
Formatar o computador resolve?
Não se o acesso estiver mantido por configurações no lado do servidor. A reinstalação do dispositivo não redefine automaticamente permissões da caixa de correio.
Como saber se o ambiente está protegido?
A empresa deve confirmar as versões instaladas, validar atualizações e mitigações, revisar a exposição do OWA e auditar permissões, tokens, sessões e eventos do Exchange.
Um SIEM ajuda na detecção?
Sim, desde que receba as fontes corretas e tenha regras de correlação adequadas. O valor está em relacionar eventos de e-mail, identidade, autenticação e administração, não apenas em armazenar logs.
Conclusão
O OWAReaper demonstra que nem todo ataque por e-mail exige um clique em link ou a execução de um anexo. Quando o próprio webmail está vulnerável, visualizar uma mensagem pode ser suficiente para iniciar a exploração.
A resposta também não pode terminar na troca de senha ou na formatação do equipamento. Permissões de caixa, tokens, sessões, suplementos e alterações mantidas no servidor precisam fazer parte da investigação.
Para empresas com Exchange Server local ou arquitetura híbrida, o caminho é direto: atualizar, reduzir exposição, revisar privilégios, centralizar logs e preparar a resposta antes que um incidente aconteça.
A Dinamio apoia organizações na revisão de ambientes Microsoft, auditoria de acessos, hardening, monitoramento e resposta a incidentes. Entre em contato para avaliar a exposição do seu ambiente Exchange e Microsoft 365.