El grupo de amenazas conocido como Laundry Bear ha comenzado a explotar una vulnerabilidad de Microsoft Outlook Web Access para atacar organismos gubernamentales y empresas de Estados Unidos y Europa. La campaña permite instalar una sofisticada puerta trasera directamente en el navegador con solo conseguir que la víctima abra y lea un correo electrónico especialmente manipulado, sin necesidad de pulsar enlaces ni descargar archivos adjuntos.
La actividad fue detectada por Proofpoint el 22 de julio de 2026 y está relacionada con CVE-2026-42897, una vulnerabilidad de tipo cross-site scripting, o XSS, que afecta a Outlook Web Access en versiones locales de Microsoft Exchange Server. El fallo recibió una puntuación de gravedad de 8,1 sobre 10 y Microsoft ya había advertido de su explotación activa desde mayo de 2026.
Los ataques se han dirigido contra organismos gubernamentales estadounidenses y europeos, además de organizaciones pertenecientes a los sectores de las telecomunicaciones, las finanzas, la hostelería y la industria aeroespacial. Proofpoint atribuye la campaña a TA488, actor también identificado como Laundry Bear, Void Blizzard, CL-STA-1114, UNK_PitStop y UAC-0194.
Un ataque que se activa al abrir el correo
Los atacantes utilizan cuentas previamente comprometidas para enviar mensajes aparentemente legítimos. Los correos incluyen asuntos genéricos relacionados con análisis de cadenas de suministro, actualizaciones de investigaciones o estadísticas sobre los mercados turístico y energético.
La ausencia de enlaces sospechosos, archivos adjuntos o peticiones urgentes hace que estos mensajes resulten menos alarmantes para sus destinatarios. Su único objetivo es conseguir que el usuario los abra y revise brevemente, momento en el que se activa el código diseñado para explotar la vulnerabilidad.
Proofpoint denomina a esta técnica “half-click”, o ataque de medio clic, porque la víctima no necesita realizar la acción habitual de pulsar sobre un enlace. Basta con visualizar el correo dentro del panel de lectura de Outlook Web Access para que el código JavaScript malicioso pueda ejecutarse dentro de la sesión autenticada.
La carga inicial se oculta en el código HTML de los iconos de redes sociales incluidos en el mensaje. Al abrirse el correo, un controlador de eventos ensambla fragmentos codificados en Base64 y ejecuta el JavaScript encargado de desplegar las siguientes fases del ataque.
OWAReaper se instala dentro del navegador
La explotación culmina con la instalación de OWAReaper, una puerta trasera escrita en JavaScript y diseñada específicamente para operar dentro de Outlook Web Access.
A diferencia del malware tradicional, OWAReaper no necesita instalar ejecutables ni dejar archivos convencionales en el sistema operativo. El implante se ejecuta dentro del contexto del navegador y utiliza las propias interfaces de Outlook para manipular los mensajes y controlar el buzón de la víctima.
Una vez activo, reescribe el correo almacenado en el servidor de Exchange para eliminar el contenido utilizado durante la explotación y dificultar su posterior análisis. También deshabilita temporalmente determinadas ventanas emergentes y la función del botón derecho del ratón mientras se ejecuta.
El malware recopila la dirección de correo, el nombre de usuario y la configuración de Outlook de la víctima. Además, crea campos invisibles dentro de la página para intentar capturar las credenciales guardadas mediante la función de autocompletado del navegador.
Persistencia incluso después de cambiar la contraseña
Uno de los elementos más preocupantes de OWAReaper es su capacidad para mantenerse activo después de que la víctima cambie sus credenciales o incluso reinstale por completo el equipo.
El código malicioso guarda una copia cifrada de sí mismo y un mecanismo de descifrado en el almacenamiento local del navegador. De esta forma, vuelve a ejecutarse automáticamente cada vez que el usuario abre una nueva pestaña de Outlook Web Access.
OWAReaper también analiza los complementos instalados en Outlook. Cuando localiza extensiones con permisos para leer y modificar el buzón, puede utilizarlas para robar tokens OAuth y asignar permisos de propietario al usuario predeterminado en todas las carpetas de correo.
Este cambio se almacena en el servidor de Exchange y permite que cualquier otra cuenta autenticada de la organización controlada por los atacantes pueda seguir accediendo al buzón comprometido. Por ello, cambiar la contraseña o volver a instalar el dispositivo no basta para expulsar al intruso: los administradores deben eliminar deliberadamente los permisos maliciosos del servidor.
El malware dispone, además, de un segundo método de persistencia. Inserta un iframe oculto dentro de los mensajes almacenados en la caché sin conexión de Outlook, lo que permite volver a infectar al usuario cuando abra uno de esos correos, incluso después de haber restaurado el equipo.
