OWA Light vit ses derniers mois. Microsoft l'a annoncé le 8 juillet, la déclinaison allégée du webmail d'Exchange Server sera coupée dans une prochaine mise à jour, attendue pour août 2026. Presque 20 ans de service, c'est beau. Il est maintenant temps de prendre sa retraite (Qui a dit : "Toi aussi".

Ah vous le connaissez pas OWA Light ? J'ai envie de dire tant mieux pour vous !

OWA (Outlook Web App), c'est le webmail livré avec Exchange, le serveur de messagerie que votre boîte héberge elle-même (parfois dans un placard qui chauffe). Et la version Light, arrivée avec Exchange 2007, dépannait tous les oubliés du web de l'époque tels que les navigateurs privés d'Internet Explorer (coucou Firefox 1.5, Safari, Opera), les connexions poussives et les lecteurs d'écran.

OWA Light, figée dans son jus depuis Exchange 2007

Alors pourquoi tout couper ???

Eh bien c'est parce que chaque couche de compatibilité, c'est du code en plus à surveiller face aux menaces web actuelles, pour un machin que plus personne n'utilise (ou presque). L'équipe Exchange ne s'en cache pas dans son annonce , retirer le client léger va "réduire la surface des systèmes hérités, simplifier les travaux d'ingénierie en cours" sans oublier l'oraison funèbre qui va bien : "OWA Light a été une expérience importante en matière de compatibilité à un moment où le Web en avait besoin".

Du coup, qui est concerné ? Eh bien si vous êtes sur Exchange SE, son successeur avec abonnement, la mise à jour d'août 2026 fera le ménage directement chez vous, et vos utilisateurs basculeront tous vers Outlook on the web, la version moderne, sans option de repli.

Par contre, si vous vous traînez encore une version 2016 ou 2019, ce n'est pas une surprise car ça avait été annoncé par Microsoft en août 2024. Du coup, ce n'est plus pris en compte dans le support depuis octobre 2025, donc il n'y a plus de patch. Mais soyez rassurés, cette mise à jour ne viendra jamais rien couper chez vous, donc vous pouvez rester comme ça à la merci des failles de sécurité ou faire la mise à jour à la main.

Pour la mise à jour, c'est assez simple :

Set-OwaMailboxPolicy -OwaLightEnabled $false
Set-OwaVirtualDirectory -LogonPageLightSelectionEnabled $false

La première commande désactive totalement l'interface via la politique de boîte aux lettres, en précisant bien sûr le nom de la vôtre (C'est Powershell qui vous le réclamera). Vérifiez ensuite qu'elle est bien assignée à toutes les boîtes avec Set-CasMailbox.

Et la seconde commande retire l'option de la page de connexion. À vous ensuite de faire la chasse à tout ce qui pointe encore vers le webmail de secours dans vos process, genre ce vieux script helpdesk de 2012 ^^.

Bon, enfin bref, même si on savait que ça allait arriver, tout ça tombe dans des mois déjà bien sportifs côté Exchange, entre la grosse panne Microsoft 365 et le correctif qui cassait les règles de transport ... Mais c'est pour le bien de tous, car moins de code legacy, c'est moins de trucs qui vous pètent à la figure un vendredi soir !

Bref, prévenez les irréductibles de la version Light qui travaillent avec vous, que c'est le moment de lui faire un petit bisou et de lui dire au revoir !

Source

J’sais pas si vous êtes un adepte d’Outlook au bureau, mais si c’est le cas, bingo, les hackers russes d’APT28 dont je vous ai causé y’a pas longtemps, aussi !

Mais attention, ils ne l’utilisent pas pour vous rappeler la réunion du lundi matin, bien au contraire, puisqu’ils ont concocté NotDoor, une backdoor qui transforme votre client mail préféré en système de commande et contrôle pour leur botnet.

C’est LAB52 qui a dévoilé le stratagème hier, et en jetant un œil à la mécanique de ce malware, on réalise qu’APT28 ( alias Fancy Bear, le groupe associé au GRU russe ) n’a pas perdu une miette de sa créativité débridée.

NotDoor est donc une backdoor VBA qui se cache dans des macros Outlook qui semblent tout ce qu’il y a de plus légitimes. Et une fois en place, elle attend sagement l’arrivée d’un email contenant un mot-clé spécifique dans votre boîte de réception. D’après l’analyse technique de LAB52 , l’échantillon utilisait “Daily Report” comme déclencheur, mais le malware peut être paramétré avec plusieurs déclencheurs différents. Et une fois le mot magique repéré, NotDoor décortique le contenu de l’email pour en extraire des commandes à exécuter sur votre machine.

Ce qui rend cette manœuvre particulièrement sournoise, c’est la méthode de déploiement car les attaquants utilisent une technique de DLL side-loading avec OneDrive.exe, le binaire signé de Microsoft. En clair, ils font charger une DLL malveillante (SSPICLI.dll) à un programme légitime pour esquiver les détections. Cette DLL installe alors ensuite la backdoor VBA et désactive plusieurs protections de sécurité relatives aux macros dans Outlook. C’est bien trouvé non ?

Une fois installé, NotDoor offre ainsi aux attaquants un arsenal complet : Exfiltration de données, upload de fichiers, exécution de commandes arbitraires sur le système compromis. Les fichiers subtilisés sont ensuite automatiquement envoyés à une adresse ProtonMail contrôlée par les hackers ( a.matti444@proton.me pour les curieux), puis effacés de la machine victime pour ne laisser aucune trace. Le malware crée également un répertoire caché dans %TEMP%\Temp pour stocker temporairement sa petite collecte avant de les envoyer et de faire le ménage derrière lui.

Pour maintenir sa persistance et rester discret, NotDoor modifie les paramètres du registre Windows pour désactiver les avertissements de sécurité, activer les macros au démarrage d’Outlook et supprimer les boites de dialogue d’alerte. L’obfuscation du code est aussi de la partie puisque les noms de variables et de fonctions sont remplacés par des chaînes alphabétiques aléatoires, et les développeurs ont utilisé une technique d’encodage assez originale qui consiste à ajouter des caractères alphanumériques aléatoires devant des chaînes Base64 valides. D’où le nom “NotDoor”, d’ailleurs, qui vient du mot “Nothing” trouvé dans le code par les chercheurs.

Plusieurs entreprises de pays membres de l’OTAN ont déjà été compromises par NotDoor, ce qui n’est malheureusement pas surprenant quand on sait qu’APT28 est particulièrement actif depuis le début de la guerre en Ukraine. Les agences de renseignement occidentales ont d’ailleurs récemment uni leurs forces pour dénoncer une vaste campagne de ce groupe ciblant les entreprises de logistique et de technologie qui aident l’Ukraine.

Pour se prémunir de NotDoor, LAB52 préconise donc de désactiver les macros par défaut dans Outlook, de surveiller toute activité inhabituelle du client mail et d’inspecter les emails contenant des déclencheurs potentiels. Il est également crucial de maintenir vos systèmes à jour, car même si Microsoft n’a pas encore publié de correctif spécifique pour cette technique, les mises à jour de sécurité régulières restent votre première ligne de défense.

Récemment, APT28 a été lié à LameHug , l’un des premiers malwares à utiliser des modèles de langage (les fameux LLMs qu’on aime tant ^^). On voit donc bien qu’ils ne se contentent pas de recycler leurs vieilles techniques mais innovent constamment pour contourner les défenses modernes.

APT28 / Fancy Bear , un groupe de hackers éthatiques que vous connaissez bien…

Bref, la prochaine fois que vous recevez un email avec “Daily Report” dans le contenu, jetez-y un œil deux fois car ça pourrait être juste le rapport habituel de votre collègue… ou une invitation des services de renseignement russes à visiter votre infrastructure informatique.

Source