[속보] 러 연계 TA488, 아웃룩 웹메일 취약점 악용…‘OWAReaper’ 심어

Proofpoint Threat Research가 29일 공개한 원문 분석에 따르면 러시아 연계 공격그룹 TA488은 온프레미스 Microsoft Exchange의 Outlook Web Access(OWA) 취약점 CVE-2026-42897을 악용한 공격을 벌이고 있다. 연구진은 7월 22일부터 미국과 유럽의 정부 기관, 통신·금융·호텔·항공우주 분야를 겨냥한 캠페인을 관찰했다고 밝혔다.

공격 메일에는 이용자가 누를 링크나 열어야 할 첨부파일이 없다. 취약한 OWA에서 조작된 메일을 열면 Exchange 서버가 본문의 HTML을 제대로 걸러내지 못해 브라우저 안에서 임의의 자바스크립트가 실행될 수 있다. 공급망이나 에너지 시장 같은 평범한 정보성 제목을 사용해 수신자가 의심 없이 메일을 읽도록 유도했다.

실행되는 악성 도구에는 ‘OWAReaper’라는 이름이 붙었다. 이 도구는 OWA 화면 안에서 작동하며 브라우저 자동완성 정보와 OAuth 토큰을 노린다. 감염된 메일의 공격 코드를 지운 뒤 OWA 설정과 오프라인 메일 캐시에 자신을 남겨 브라우저를 다시 시작하거나 단말을 재설치해도 접근을 이어갈 수 있도록 설계됐다.

Proofpoint는 OWAReaper가 Exchange 폴더의 ‘Default’ 사용자 권한을 소유자 수준으로 바꿔 같은 조직의 다른 인증 계정에서 피해자 메일함에 접근할 수 있게 한다고 분석했다. 명령 수신에는 GitHub 커밋 메시지 검색과 수신 메일을 이용하고, 탈취 데이터는 HTTPS 또는 DNS 터널링 방식으로 외부에 보낸다.

CVE-2026-42897은 OWA 웹 페이지 생성 과정의 교차사이트 스크립팅 취약점이다. Microsoft 공식 안내에 따르면 Exchange Server 2016과 2019, Subscription Edition의 모든 업데이트 수준이 영향을 받으며 Exchange Online은 영향 대상이 아니다. 미국 사이버보안·인프라보안국(CISA)은 5월 15일 이 취약점을 실제 악용 사례가 확인된 목록에 추가했다.

Microsoft는 5월 자동 긴급 완화 조치를 배포한 뒤 6월 보안 업데이트를 제공했다. 7월 보안 업데이트를 설치한 서버는 기존 완화 조치를 유지할 필요가 없다고 안내했다. 관리자는 서버의 업데이트 상태를 확인하고, 침해가 의심되면 Exchange Web Services 토큰과 메일 폴더 권한을 점검해야 한다.

Proofpoint는 피해 환경에서 OWA의 IndexedDB와 특정 localStorage 설정을 정리하고, 공개된 명령제어 서버 연결을 차단할 것을 권고했다. 비밀번호 변경이나 단말 재설치만으로는 서버에 남은 권한과 브라우저 저장소 기반 지속성을 제거하지 못할 수 있어 별도의 조사와 조치가 필요하다.

연구진은 이번 활동을 웹메일 취약점 악용 방식과 기존 악성 도구의 코드·행동 유사성을 근거로 TA488에 귀속했다. 공격 인프라 일부가 Microsoft의 5월 긴급 조치보다 앞선 3월에 만들어진 점을 들어 제로데이 단계부터 취약점이 쓰였을 가능성도 제기했다. 다만 이 부분은 인프라 시점에 기초한 분석이며 확정된 사실은 아니다.

출처: Proofpoint Threat Research 원문 분석 https://www.proofpoint.com/us/blog/threat-insight/cleaning-out-inboxes-ta488-comes-outlook-another-half-click-exploit
출처: Microsoft Exchange Team 공식 보안 안내 https://techcommunity.microsoft.com/blog/exchange/addressing-exchange-server-may-2026-vulnerability-cve-2026-42897/4518498
출처: 미국 CISA 악용 취약점 목록 https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-42897