Le 23 juillet, une coalition internationale d'agences de cybersécurité publiait une alerte commune sur les méthodes d'un groupe d'espionnage russe. La veille, celui-ci avait déjà changé de cible pour s'attaquer aux serveurs Exchange.
Les serveurs de messagerie d'entreprise occupent une place à part dans le catalogue des cibles d'espionnage. Ils concentrent les échanges, les pièces jointes et les carnets d'adresses, et beaucoup restent hébergés en interne par des organisations qui n'ont pas les moyens de les surveiller en continu. Proofpoint a publié mercredi l'analyse d'une campagne visant Outlook Web Access, l'interface web d'Exchange, attribuée au groupe russe suivi sous les noms de Laundry Bear, Void Blizzard et TA488. La charge qu'elle dépose ne disparaît ni avec un changement de mot de passe, ni avec une réinstallation complète de la machine.
Un courriel parfaitement ennuyeux, et c'est tout
La faille exploitée porte l'identifiant CVE-2026-42897 et n'a rien d'inédit : Microsoft avait reconnu son exploitation active dès le 14 mai, et nous relations alors l'attente d'un correctif. Notée 8,1 sur l'échelle CVSS, elle vient d'un défaut de filtrage du code HTML contenu dans le corps des messages. Quand la victime ouvre le courriel dans OWA, le serveur restitue le contenu sans le nettoyer correctement, et du JavaScript s'exécute dans le navigateur avec les privilèges de la session en cours. Les chercheurs appellent ce type d'attaque un exploit « à demi-clic », puisque le simple fait d'afficher le message dans le volet de lecture déclenche la compromission.
Le soin apporté aux messages relève d'une psychologie assez retorse. Les objets observés parlent d'indicateurs du tourisme mondial, de métriques des marchés gaziers, de chaînes d'approvisionnement en semi-conducteurs ou de surveillance sanitaire des eaux usées. Aucun lien suspect, aucune pièce jointe, aucun appel à l'action. L'idée consiste à obtenir que la cible ouvre le message, le survole, puis le classe mentalement dans la catégorie des courriels sans intérêt qu'on ne signale jamais au service informatique. À ce stade, le mal est fait.
La campagne visait des entités gouvernementales américaines et européennes ainsi que les secteurs des télécommunications, de la finance, de l'hôtellerie et de l'aéronautique. Le volume et l'étendue du ciblage sortent des habitudes du groupe, qui privilégie d'ordinaire les opérations chirurgicales. Les chercheurs y voient une manière de se fondre dans le trafic de courrier indésirable de masse pour attirer moins de regards. Aucune activité du groupe n'avait été observée entre février et le 22 juillet, ce qui a laissé le temps de préparer les choses.
Pourquoi réinstaller le poste ne change rien
L'implant déposé, baptisé OWAReaper, ne s'installe nulle part sur la machine. Il vit entièrement dans le contexte du navigateur, à l'intérieur du volet de lecture d'OWA, sans laisser la moindre trace sur le disque. Sa première action consiste d'ailleurs à réécrire le courriel piégé sur le serveur pour en retirer le code d'exploitation, tout en désactivant discrètement les fenêtres surgissantes et le clic droit pendant son exécution. Le message qui vous a infecté redevient donc anodin quelques secondes après l'avoir ouvert.
Trois ancrages assurent ensuite sa survie, et c'est là que l'affaire devient sérieuse. Le premier consiste à écrire une version chiffrée de l'implant dans le stockage local du navigateur, sous une clé légitime qu'OWA relit lui-même à chaque restauration de session. Autrement dit, le service se réinfecte tout seul à chaque ouverture d'onglet, en utilisant son propre mécanisme de synchronisation. Le deuxième glisse un cadre invisible dans les messages conservés en cache hors ligne, ce qui redéclenche l'infection dès qu'on rouvre un vieux courriel empoisonné, y compris sur un poste fraîchement réinstallé.
Le troisième est le plus difficile à déloger. L'implant cherche les extensions Outlook disposant de droits de lecture et d'écriture sur la boîte, puis s'en sert pour voler des jetons d'authentification. Il accorde ensuite des permissions de propriétaire à l'alias « Default » sur chacun des dossiers de messagerie. Cet alias désigne, dans tout serveur Exchange, l'ensemble des comptes authentifiés de l'organisation. Traduction : n'importe quel compte interne dont l'attaquant dispose devient une clé passe-partout vers la boîte de la victime. Comme ces permissions vivent côté serveur, changer le mot de passe de l'utilisateur ne sert à rien, et reformater son ordinateur pas davantage. C'est un peu comme si un cambrioleur avait convaincu le syndic de distribuer un double de vos clés à tous les habitants de l'immeuble. Vous pouvez remplacer votre serrure autant que vous voulez, le problème est ailleurs.
Le reste de l'outillage confirme le soin apporté à la discrétion. Les ordres arrivent soit par des messages de commit publiés sur GitHub, que l'implant interroge une fois par jour, soit par de nouveaux courriels que le code va lire lui-même dans le cache. Les données volées repartent sous forme de requêtes déguisées en chargement d'images, relayées par des réseaux de diffusion de contenu tout à fait légitimes. Un repli sur des requêtes DNS prend le relais si la voie principale échoue. Le groupe avait déjà fait ses gammes sur Zimbra avec un outil très proche, capable de siphonner les quatre-vingt-dix derniers jours de messagerie, l'annuaire de l'organisation et les codes de double authentification.
Ce que le CERT-FR avait déjà publié
Les administrateurs français ne découvrent pas le sujet. Le CERT-FR avait ouvert une alerte dès le 15 mai, doublée d'un avis technique, et le CERT Santé avait relayé la consigne auprès des établissements hospitaliers. Seules les installations hébergées en interne sont concernées, à savoir Exchange Server 2016, 2019 et Subscription Edition. Les organisations passées sur Exchange Online n'ont rien à craindre de cette faille précise, ce qui constitue à peu près la seule bonne nouvelle du dossier. Le service de contournement d'urgence intégré à Exchange est activé par défaut, mais il ne dispense pas d'appliquer les mises à jour de sécurité.
Corriger le serveur n'expulse pourtant pas un attaquant déjà installé, puisque les permissions accordées à l'alias « Default » survivent au correctif. Les chercheurs recommandent de révoquer et d'auditer les jetons associés aux extensions Outlook, puis de passer en revue les droits attribués sur chaque dossier de messagerie. Reste à purger le cache hors ligne et la clé de stockage local détournée. Le mode opératoire rappelle celui d'autres groupes liés au renseignement russe, comme APT28 qui exploitait en début d'année une faille Office contre des cibles diplomatiques. Il évoque aussi ces campagnes de test de mots de passe passées sous les radars de Microsoft Entra ID.
Les premières infrastructures liées à cette campagne ont été créées en mars, soit deux mois avant que Microsoft ne publie son correctif hors cycle. Les chercheurs jugent donc envisageable que le groupe ait exploité la faille avant même que l'éditeur n'en ait connaissance, sans pouvoir l'affirmer.
Si votre organisation fait tourner Exchange sur ses propres serveurs, la question du jour n'est plus de savoir si le correctif est appliqué. Elle est de savoir qui d'autre possède aujourd'hui les droits de propriétaire sur vos dossiers de messagerie.
