ロシア政府支援のLaundry Bearハッカーグループは、Outlook Web AccessのXSS脆弱性を利用し、OWAReaperという高度なバックドアを配布している。この攻撃は、米国および欧州の政府機関と、通信、金融、観光、航空業界の企業を標的にしている。ハッカーは、ユーザーが特別に作成されたメールを開くとJavaScriptコードが実行されるXSS脆弱性を悪用している。

OWAReaperは、Exchangeサーバ上でメールを改ざんし、OWAのポップアップと右クリック機能を無効化することで機能する。マルウェアはメールアドレス、ユーザー名、Outlook設定を収集し、さらにブラウザが自動入力する見えないDOM要素を生成する。この攻撃により、ハッカーは対象のメールボックスへの長期的なアクセスを確保できる。

OWAReaperは2つのC2メカニズムと2つのデータ抽出手法を使用する。マルウェアはGitHubのコミットメッセージを通じてコマンドを取得し、HTTPS上のAES-CTR暗号化されたURIパスでデータを抽出できる。さらにDNS抽出手法も存在する。Proofpointの研究者はこのキャンペーンをTA488脅威アクターに帰属させ、ZimReaperの活動と行動上の類似性を示している。