مجموعة اختراق روسية تستهدف Outlook بطريقة استهداف متطورة

كشف باحثون في شركة Proofpoint عن تصعيد جديد لطريقة هجوم إلكتروني متقدمة يقف وراءها مجموعة تجسس روسية تعرف باسم (TA488) حيث وسّعت المجموعة نطاق استهدافها من منصة Zimbra إلى Microsoft Outlook Web Access  المعتمدة على خوادم Exchange المحلية. تعتمد التقنية الجديدة على استغلال ثغرة من نوع XSS (CVE-2026-42897) في OWA، مما يُمكّن المهاجمين من تنفيذ أكواد جافا سكريبت ضارة لحظة فتح الضحية لبريد إلكتروني مفخخ عبر واجهة OWA، حتى دون النقر على أي روابط أو تحميل ملفات. وبحسب الباحثين، فإن حسابات Microsoft Exchange Online السحابية ليست معرضة لهذا الخطر. الهجوم يصيب القطاع الحكومي في الولايات المتحدة وأوروبا، بالإضافة إلى قطاعات الاتصالات والخدمات المالية والضيافة والطيران. المرجح أن الحملة واسعة النطاق للتخفي بين كم البريد اليومي العادي وإرباك الدفاعات الأمنية، خلافًا للهجمات الموجهة بدقة المعتادة في عالم التجسس الإلكتروني. الخطر الأساسي يأتي من زرع برنامج تجسس داخل متصفح البريد يعرف باسم OWAReaper، لا يترك عادة أي أثر على النظام نفسه، ويتصل بقنوات سيطرة خارجية بطرق متعددة لتسريب البيانات، ويظل نشطًا حتى عند تغيير كلمة المرور أو إعادة تهيئة الجهاز بالكامل، لأن مقر الخطر في البريد نفسه وليس نظام التشغيل. أشارت تحليلات Proofpoint إلى أن المجموعة ربما استخدمت الثغرة قبل إعلان مايكروسوفت عنها في مايو بوقت طويل، أي أن المهاجمين كانوا يستغلون الثغرة قبل توفر تحديث الحماية. لم تصدر مايكروسوفت حتى الآن تعليقًا على التقرير، لكن الباحثين يؤكدون أن تطور أدوات وخطط TA488 بات يتجاوز الأساليب التقليدية، بحيث أصبح مجرد فتح الرسالة مصدر تهديد كافي حتى لو لم ينقر المستخدم على رابط مشبوه، وهو تطور يرفع من مستوى خطورة هجمات التجسس الإلكتروني المعتمدة على البريد.