Espías rusos llevan su ataque de «medio clic» de Zimbra a Outlook: el correo que infecta con solo abrirlo
Los grupos de espionaje rusos han vuelto a demostrar que el correo electrónico sigue siendo una de las superficies de ataque más peligrosas. Proofpoint ha detectado que la agrupación TA488, también conocida como «Laundry Bear», ha trasladado su sofisticado ataque de «medio clic» desde Zimbra Collaboration Suite a Outlook Web Access (OWA), la interfaz web de Exchange Server. La campaña, dirigida contra gobiernos y empresas de EE. UU. y Europa, explota la vulnerabilidad CVE-2026-42897, un fallo de cross-site scripting (XSS) que permite ejecutar código malicioso en el navegador de la víctima con una única condición: abrir el mensaje.
Qué es el ataque de «medio clic»
El nombre «medio clic» define a la perfección la mecánica del ataque. En el phishing tradicional, el atacante necesita que la víctima haga clic en un enlace, abra un archivo adjunto o introduzca sus credenciales en una página falsa. En esta técnica, ese paso intermedio desaparece casi por completo: basta con que el usuario abra el correo manipulado en OWA para que el navegador ejecute el JavaScript controlado por los atacantes dentro de la sesión autenticada de correo. No hay enlaces sospechosos que revisar ni adjuntos que desconfiar, lo que convierte al propio acto de leer el email en el desencadenante de la infección.
El grupo comenzó a explotar la vulnerabilidad en OWA un día antes de que investigadores y agencias gubernamentales destaparan su abuso de un zero-day en Zimbra Collaboration Suite, lo que sugiere una operación coordinada y con recursos. Es importante señalar que Exchange Online, la versión cloud del servicio, no se ve afectada por este fallo concreto: el objetivo son los entornos Exchange Server on-premises, los que las organizaciones gestionan en sus propios servidores.
OWAReaper: un implante que vive en el buzón
Lo más inquietante de la campaña es el implante que despliegan los atacantes. Bautizado como OWAReaper, este malware de navegador reside íntegramente dentro de OWA, por lo que apenas deja rastros en el sistema operativo de la víctima. Según el análisis de Proofpoint, el implante se comunica con dos canales de mando y control independientes, soporta múltiples métodos de exfiltración de datos y, lo más preocupante, sobrevive a los reinicios del navegador, a los cambios de contraseña e incluso a una reconstrucción completa del dispositivo.
La razón es sencilla: el punto de apoyo no está en el disco duro del usuario, sino en el propio buzón comprometido. Cada vez que la víctima accede a su correo desde OWA, el implante vuelve a cargarse. Para muchas organizaciones, cambiar la contraseña o reinstalar el equipo era la respuesta estándar ante una posible intrusión; con OWAReaper, esa medida deja de ser efectiva, y la limpieza exige localizar y eliminar el contenido malicioso dentro del propio buzón y de la infraestructura Exchange.
Una campaña amplia para pasar desapercibida
TA488 no es un grupo nuevo en el panorama del espionaje. Los investigadores lo rastrean desde hace tiempo y lo vinculan a intereses de inteligencia de Rusia, con una clara prioridad por la recolección de información contra gobiernos y el sector defensa. Sin embargo, esta campaña presenta una peculiaridad: un abanico de víctimas inusualmente amplio que incluye administraciones públicas de EE. UU. y Europa, además de empresas de telecomunicaciones, servicios financieros, hostelería y aeroespacial.
Proofpoint cree que esa dispersión es deliberada. Al mezclarse con el ruido de fondo del tráfico de correo cotidiano, las comunicaciones maliciosas resultan mucho más difíciles de detectar que las operaciones quirúrgicas típicas de los grupos de espionaje. Los señuelos utilizados son genéricos y anodinos: mensajes que parecen rutina y que el destinatario abre y ojea sin darles importancia, justo el comportamiento que los atacantes necesitan.
Un zero-day que pudo estar activo desde marzo
La gravedad del caso aumenta al analizar la cronología. Microsoft divulgó la vulnerabilidad CVE-2026-42897 en mayo, después de que se detectaran explotaciones en la naturaleza, y publicó un parche fuera de ciclo. Pero Proofpoint estima que la infraestructura de ataque de TA488 se remonta a marzo, aproximadamente dos meses antes de que los defensores supieran siquiera que existía el fallo. Si esa evaluación es correcta, la campaña llevaba meses en marcha mientras el exploit funcionaba como un auténtico zero-day.
Para los investigadores, esta evolución refleja un salto de capacidades: el grupo no se limita a reciclar una técnica que ya funcionaba contra Zimbra, sino que la perfecciona contra un objetivo más difícil, con mejoras simultáneas del malware y del exploit. La conclusión es incómoda para los responsables de seguridad: uno de los consejos más antiguos de la ciberseguridad, «no hagas clic en enlaces sospechosos», ya no basta cuando el simple acto de abrir un correo puede comprometer una organización.
Qué pueden hacer las organizaciones
La primera recomendación es clara: aplicar de inmediato el parche de Microsoft para CVE-2026-42897 en cualquier instancia de Exchange Server on-premises, y verificar que no hay instancias de OWA expuestas a internet sin actualizar. La monitorización de sesiones web de OWA, la revisión de reglas de buzón inusuales y la inspección del contenido persistente dentro de los buzones son pasos necesarios ante la posibilidad de un implante como OWAReaper. Además, conviene asumir que el cambio de contraseña, aunque imprescindible, no elimina una infección que reside en el propio buzón.
La campaña de TA488 confirma una tendencia que los expertos llevan años anunciando: el correo electrónico seguirá siendo el vector de entrada preferido de los servicios de inteligencia, y las técnicas evolucionan para requerir cada vez menos interacción de la víctima. Formarse en la detección de estas amenazas, mantener la infraestructura parcheada y no confiar únicamente en el sentido común del usuario son las únicas defensas reales frente a un ataque que se activa con un simple «medio clic».
