CERT Polska w komunikacie z 7 sierpnia poinformował o obserwowanej kampanii OWAReaper wykorzystującej Stored XSS w Outlook Web Access. Zespół zalecił sprawdzenie włączenia EEMS i zastosowania mitigacji M2 oraz przegląd wiadomości i śladów komunikacji z infrastrukturą atakujących. Osoba odpowiedzialna za firmową pocztę powinna więc odebrać dowód ochrony i wynik sprawdzenia wcześniejszych zdarzeń.

Czy odpowiedź „ochrona Exchange działa automatycznie” wystarczyłaby ci do zamknięcia zadania po tym ostrzeżeniu? Potraktujmy ją jako hipotetyczną odpowiedź administratora i sprawdźmy, czego jeszcze trzeba się dowiedzieć. Poprośmy o wskazanie instancji, na której odczytano stan EEMS, oraz potwierdzenie zastosowania M2. Następnie zapytajmy o wynik przeglądu wcześniejszych wiadomości i ruchu DNS. Odbiór prac powinien więc obejmować te ustalenia oddzielnie. Jeśli administrator potwierdził dopiero stan mechanizmu ochronnego, pozostawmy analizę historii jako otwartą część zadania. W notatce dla zarządu zapiszmy dokładnie, co już sprawdzono i na jaką odpowiedź jeszcze czekamy, zamiast zastępować ustalenia ogólną deklaracją bezpieczeństwa poczty.

OWAReaper wykorzystuje Stored XSS w Outlook Web Access

Według CERT Polska w ostrzeżeniu z 7 sierpnia obserwowana kampania wykorzystuje podatność typu Stored XSS w Outlook Web Access. To punkt odniesienia dla technicznej części zadania: administrator powinien odnieść ostrzeżenie do środowiska Exchange, za które odpowiada. Sama informacja o kampanii nie przesądza, że atak na własną organizację się powiódł.

Przegląd wiadomości i komunikacji z infrastrukturą atakujących, zalecony przez CERT Polska, potraktujmy jako pytanie o historię własnej poczty. Zlecenie powinno wskazywać, które zasoby obejmuje analiza i gdzie wykonawca zapisze jej wynik. Jeśli zakres pozostaje nieustalony, poprośmy administratora o jego określenie przed przedstawieniem wniosków zarządowi.

Jako zasadę odbioru analizy OWAReaper przyjmijmy rozróżnienie między znalezionym śladem, wynikiem bez dopasowań i brakiem danych do sprawdzenia. Nie zakładajmy z góry, który z tych wyników opisuje firmową pocztę; ustalenie tego jest właśnie zadaniem zespołu technicznego.

Potwierdzenie EEMS powinno obejmować także zastosowanie M2

CERT Polska zalecał sprawdzenie, czy EEMS jest włączony i czy zastosowano M2. W procedurze obsługi ostrzeżenia zapiszmy zatem osobne miejsca na oba wyniki. Przy każdym ustaleniu wymagajmy wskazania sprawdzanej instancji i czasu odczytu, aby odbiorca wiedział, do czego odnosi się odpowiedź administratora.

Deklarację automatycznej ochrony Exchange przełóżmy na prośbę o dowód wykonanej czynności. Administrator powinien pokazać odczyt stanu lub zapis kontroli, na którym opiera potwierdzenie M2. Jeżeli przekazuje wyłącznie informację o włączeniu EEMS, poprośmy o uzupełnienie odpowiedzi dotyczącej samej mitigacji. Gdy potwierdzenia brakuje, oznaczmy ten punkt jako niewyjaśniony i przypiszmy osobę odpowiedzialną za sprawdzenie.

Automatyczną ochronę Exchange odbierajmy na podstawie potwierdzonego zastosowania M2.

Tak samo potraktujmy zapis w firmowej procedurze mówiący o EEMS: przy odbiorze prac zażądajmy wyniku z własnego środowiska. Zestawmy oczekiwane działanie z tym, co administrator rzeczywiście sprawdził. Gdy odpowiedź jest niepełna, nazwijmy brakujące ustalenie, bez dopisywania przyczyn ani zarzutów wobec wykonawcy.

Zarząd powinien odebrać także wynik przeglądu historii

Zalecenie CERT Polska obejmuje wiadomości i ślady komunikacji z infrastrukturą atakujących. Dlatego po potwierdzeniu M2 pozostawmy w zadaniu miejsce na analizę poczty oraz DNS. Dowód zastosowania mitigacji odpowiada na inne pytanie niż ustalenia dotyczące wcześniejszych śladów OWAReaper.

Osoba odpowiedzialna za pocztę powinna uzgodnić z wykonawcą zakres czasowy przeglądu oraz wskazać odbiorcę wyników. W raporcie dotyczącym OWAReaper poprośmy o opis sprawdzonych danych, rezultat analizy i ograniczenia. Jeżeli część historii jest niedostępna, zapiszmy ten brak przy wnioskach. Wyniku dotyczącego dostępnego wycinka danych nie rozszerzajmy na okres, którego nie sprawdzono.

Dowód zastosowania M2 powinien zamykać kontrolę mitigacji; historię poczty zamykajmy wynikiem jej analizy.

Decyzję o zakończeniu prac nad OWAReaper oprzyjmy na uzgodnionym zakresie. Gdy administrator potrzebuje dodatkowego czasu na przegląd DNS lub wiadomości, poprośmy o wskazanie pozostałych czynności i terminu ich wykonania. Zarząd powinien wiedzieć, czego dotyczy oczekiwanie i kto odpowiada za dostarczenie ustaleń. Nie wymagajmy ogólnego zapewnienia o bezpieczeństwie całego środowiska w miejsce odpowiedzi na konkretne zalecenia.

Komunikat CERT Polska daje punkt odniesienia polskim firmom

Dla polskiej organizacji korzystającej z Exchange podstawą tego przeglądu jest ostrzeżenie CERT Polska z 7 sierpnia. Do wewnętrznego zlecenia dołączmy ten komunikat, aby administrator i odbiorca prac odnosili się do tych samych zaleceń.

W notatce zarządczej o OWAReaper oddzielmy informację pochodzącą od CERT Polska od wyników uzyskanych we własnym środowisku. Obserwację kampanii przypiszmy zespołowi, natomiast potwierdzenie EEMS, M2 i przeglądu historii konkretnym czynnościom administratora. Tam, gdzie odpowiedzi jeszcze nie ma, pozostawmy status nieustalony oraz termin powrotu do sprawy. Tak przygotowaną notatkę można wykorzystać do odbioru kolejnej części prac bez zmieniania znaczenia wcześniejszych ustaleń.

Co z tym zrobić w poniedziałek

Każdy punkt ogranicz do 30 minut pracy nad rozpoczęciem lub odbiorem kontroli Exchange. Kontrolę rozpocznij już we wtorek 11 sierpnia. Pełny przegląd historii zleć z osobno uzgodnionym terminem.

  1. Odbierz dostępne potwierdzenia EEMS i M2. Dla wybranej instancji Exchange zbierz od administratora wynik kontroli, czas odczytu i podstawę ustalenia. Zapisz oddzielnie stan EEMS oraz zastosowanie M2. Jeśli potwierdzeń brakuje, wyślij prośbę o ich dostarczenie i wskaż odbiorcę odpowiedzi.
  2. Przygotuj zlecenie przeglądu wiadomości. Dołącz komunikat CERT Polska i wskaż pocztę objętą zadaniem. Poproś wykonawcę o potwierdzenie zakresu czasowego dostępnej historii, terminu analizy i sposobu przekazania wyników. Dodaj miejsce na opis danych, których nie uda się sprawdzić.
  3. Ustal zakres sprawdzenia DNS. Z osobą odpowiedzialną za zapisy ruchu DNS ustal ich dostępność i okres, który obejmują. Zleć sprawdzenie śladów komunikacji z infrastrukturą atakujących wskazaną przez CERT Polska. Zapisz wykonawcę, termin oraz oczekiwany wynik; brak dostępnych zapisów oznacz jako ograniczenie analizy.

W sprawie OWAReaper deklaracja automatycznej ochrony powinna prowadzić do sprawdzalnego wyniku. Osoba odbierająca prace nad Exchange powinna móc wskazać dowód zastosowania M2 i ustalenia z przeglądu historii. Dopóki któregoś z nich brakuje, pozostawmy go jako konkretne zadanie z właścicielem i terminem.

Źródła

  1. CERT Polska: Aktywna kampania phishingowa wycelowana w serwery Microsoft Exchange, publikacja: 7 sierpnia 2026.

Redakcja cyberinsight.pl.