Delega Email Malevola: Additional Email Delegate Permissions (T1098.002)

In un ingaggio red team la simulazione di T1098.002 parte dalla premessa di aver già ottenuto credenziali con ruolo Exchange Administrator, Global Administrator o quantomeno un account con diritto di modificare i permessi della propria mailbox. L'obiettivo è dimostrare come un persistence hook via delega email possa sopravvivere a rotazioni di password e reset MFA della vittima originale.

Su Microsoft 365 / Exchange Online il modulo di riferimento è ExchangeOnlineManagement (open source, distribuito via PowerShell Gallery). Dopo autenticazione con Connect-ExchangeOnline, il comando classico per aggiungere permessi completi è:

Add-MailboxPermission -Identity target@corp.com -User attacker@corp.com -AccessRights FullAccess -InheritanceType All

Per inviare messaggi come la vittima si combina con:

Add-RecipientPermission -Identity target@corp.com -Trustee attacker@corp.com -AccessRights SendAs

Una variante più stealth, osservata in campagne reali, sfrutta i permessi a livello di singola cartella tramite Set-MailboxFolderPermission, assegnando ruolo Reviewer all'identità Default o Anonymous sulla cartella Inbox — in questo modo qualunque account del tenant può leggere la posta senza comparire come delegato esplicito nelle GUI amministrative.

Per scenari di impersonation su larga scala, replicando il pattern di APT28, APT29 e HomeLand Justice, si assegna il ruolo ApplicationImpersonation a un service principal o a un account di servizio:

New-ManagementRoleAssignment -Role ApplicationImpersonation -User svc-backup@corp.com

Questo ruolo consente di impersonare qualsiasi mailbox del tenant tramite EWS o Graph API, ideale per pipeline di collection automatizzate.

Su Google Workspace l'equivalente è la delega Gmail configurabile via gam (open source, GAMADV-XTD3 su GitHub). Il comando gam user target@corp.com delegate to attacker@corp.com replica la logica, mentre l'abilitazione tenant-wide passa dalla Google Admin console.

Per la fase di collection post-delega, tool utili in laboratorio sono MailSniper (open source) per enumerare mailbox e ricercare pattern nelle inbox delegate via OWA/EWS, e ROADtools (open source) per mappare i permessi Azure AD e identificare service principal con Mail.Read o Mail.ReadWrite concessi — pattern osservato nel SolarWinds Compromise.

Regola operativa: documentare puntualmente ogni cmdlet eseguito con timestamp, poiché il blue team userà proprio questi eventi come ground truth per validare le proprie detection.

La detection di T1098.002 ruota attorno a due famiglie di log complementari: m365:unified (Unified Audit Log di Microsoft 365) per l'ambiente cloud e WinEventLog:Security più i log di Exchange Management per i deployment ibridi o on-premises. La strategia di rilevamento MITRE DET0373 identifica esplicitamente questi due piani di osservazione (AN1051 e AN1052).

Gli eventi chiave nell'Unified Audit Log sono Add-MailboxPermission, Add-RecipientPermission, Set-MailboxFolderPermission e New-ManagementRoleAssignment. Ogni volta che uno di questi cmdlet compare, l'analista deve valutare quattro dimensioni di tuning:

• DelegatePermissionLevel: soglia sui ruoli concessi, con priorità alta per FullAccess, SendAs e ApplicationImpersonation
• FolderTargetScope: cartella bersaglio, con particolare attenzione a Top of Information Store, Inbox e Calendar
• DelegatorToDelegatePairing: baseline delle coppie delegante/delegato attese (es. assistenti di direzione verso executive), tutto il resto va investigato
• MailflowAnomalyThreshold: correlazione temporale tra concessione del permesso e spike di traffico outbound dall'account

Un indicatore particolarmente pericoloso è l'assegnazione di permessi all'identità Default o Anonymous su cartelle mailbox: si tratta di una configurazione quasi mai legittima e va trattata come high-severity. Analogamente, ogni New-ManagementRoleAssignment che concede ApplicationImpersonation deve generare ticket immediato — è il pattern esatto di APT29 nel SolarWinds Compromise e di HomeLand Justice in Albania.

Sul fronte Windows/PowerShell, l'evento 4104 (Script Block Logging) cattura il testo delle cmdlet Exchange eseguite. La regola di correlazione deve pesare il parent process: PowerShell lanciato da un'interactive session di un helpdesk operator è meno sospetto di uno spawnato da un'attività non attribuibile, o eseguito fuori dagli orari di manutenzione dichiarati.

Allineandosi con le contromisure D3FEND della categoria Detect — in particolare User Behavior Analysis e Administrative Network Activity Analysis — la detection matura richiede baseline per utente amministrativo (frequenza tipica di modifiche delega, orari, IP sorgente) e alert su deviazioni statistiche.

I falsi positivi principali derivano da: migrazioni di mailbox, onboarding di nuovi assistenti, integrazione di ticketing con impersonation legittima. La whitelist va mantenuta per service principal noti e change window approvati.

Sul lato preventivo, allinearsi con le mitigazioni MITRE M1026 (Privileged Account Management con PAM come CyberArk o Azure PIM, entrambi a pagamento), M1032 (MFA obbligatorio su tutti gli account amministrativi Exchange) e M1042 (disabilitazione della delega Gmail via Google Admin console dove non necessaria).

Un'indagine forense su T1098.002 comincia sempre dal Unified Audit Log di Microsoft 365, che conserva gli eventi amministrativi per un periodo variabile a seconda della licenza (90 giorni con E3, un anno con E5, estendibile con Advanced Audit). L'analista deve estrarre tutti gli eventi Add-MailboxPermission, Add-RecipientPermission, Set-MailboxFolderPermission, New-ManagementRoleAssignment e Set-CASMailbox in una finestra temporale coerente con la sospetta compromissione. Lo strumento Search-UnifiedAuditLog del modulo Exchange Online PowerShell (open source) permette il recupero programmatico:

Search-UnifiedAuditLog -StartDate 01/01/2024 -EndDate 31/03/2024 -Operations Add-MailboxPermission,Add-RecipientPermission

Ogni record espone attore, target, permesso concesso, IP sorgente e user agent — elementi centrali per la timeline. La correlazione con i Sign-In Logs di Entra ID (Azure AD) ricostruisce il contesto di autenticazione: geolocalizzazione dell'IP dell'attore, presenza di MFA, session ID e Conditional Access outcome. Un IP amministrativo che risulta improvvisamente collegato a un ASN residenziale o VPN commerciale è un forte indicatore.

Per ambienti ibridi con Exchange on-premises, gli artefatti equivalenti risiedono nei log di Exchange Management (C:\Program Files\Microsoft\Exchange Server\V15\Logging\CmdletInfra) e negli eventi PowerShell 4103 e 4104 del Security log. La ricostruzione richiede parsing dei file .log e correlazione temporale con l'IIS log del frontend Exchange, che rivela l'endpoint OWA o ECP usato per l'esecuzione.

Sul piano degli artefatti D3FEND, gli oggetti forensi rilevanti sono User Account, Email Account e Access Token. Se l'attaccante ha operato via Graph API o EWS con credenziali applicative, il Directory Audit Log di Entra ID mostra la concessione di permessi come Mail.Read, Mail.ReadWrite o Mail.Send a service principal — pattern documentato nella campagna C0024 SolarWinds Compromise, dove APT29 aggiunse questi consent a Application registrate legittime per esfiltrare mailbox target.

Nel caso di C0038 HomeLand Justice, i threat actor iraniani mantennero l'accesso alle caselle albanesi per circa 14 mesi grazie al ruolo ApplicationImpersonation. Un investigatore deve quindi cercare New-ManagementRoleAssignment con parametro -Role ApplicationImpersonation anche molto indietro nel tempo, poiché la persistenza può precedere di mesi la fase disruptive.

La timeline di risposta include: identificazione dell'account attore compromesso, enumerazione di tutte le deleghe concesse (via Get-MailboxPermission e Get-RecipientPermission per ogni mailbox del tenant), revoca dei permessi anomali, rotazione delle credenziali dell'attore, revoca dei refresh token via Revoke-AzureADUserAllRefreshToken e verifica di regole inbox malevole create come effetto collaterale.

La tecnica T1098.002 è caratteristica di attori con obiettivi di cyber espionage di lungo periodo e di gruppi coinvolti in operazioni BEC ad alto valore. MITRE documenta tre gruppi principali con pattern operativi distinti ma convergenti sull'abuso del ruolo ApplicationImpersonation.

APT28 (attribuito al GRU russo, Unit 26165) ha impiegato cmdlet PowerShell per concedere ApplicationImpersonation ad account compromessi, tipicamente in contesti di targeting governativo e della difesa in Europa e Nord America. Il gruppo dimostra maturità nell'uso di strumenti nativi Microsoft come vettore di persistenza a bassa detectability, evitando malware custom quando l'ambiente cloud offre già le primitive necessarie.

APT29 (attribuito al SVR russo, noto anche come Cozy Bear, The Dukes, NOBELIUM) rappresenta il caso di scuola più sofisticato. Nella campagna C0024 SolarWinds Compromise (agosto 2019 – gennaio 2021) il gruppo utilizzò un account Global Administrator compromesso in Azure AD per creare backdoor su service principal, assegnando loro ApplicationImpersonation e i permessi Graph Mail.Read e Mail.ReadWrite. Il comando Set-CASMailbox fu usato per aggiungere dispositivi degli attaccanti come allowed ID per ActiveSync, ottenendo copie complete delle mailbox target. La combinazione di supply chain attack (Orion), token theft e persistenza via delega email definisce lo state-of-the-art dell'espionage cloud-native.

Magic Hound (attribuito all'IRGC iraniano, tracked anche come APT35, Charming Kitten) ha applicato la tecnica in un contesto più tattico: concessione di permessi di lettura tra account già compromessi per pivotare sulle inbox di target aggiuntivi nel Medio Oriente. L'operazione documentata prevedeva l'autenticazione al portale OWA della vittima finale e la lettura di centinaia di comunicazioni email — pattern tipico di raccolta intelligence su organizzazioni regionali.

La campagna C0038 HomeLand Justice (maggio 2021 – settembre 2022), condotta da attori statali iraniani contro reti governative albanesi, mostra l'evoluzione della tecnica in scenari disruptive. Gli attaccanti aggiunsero il ruolo ApplicationImpersonation ad account controllati per impersonare utenti e prendere possesso di mailbox mirate, mantenendo persistenza per circa 14 mesi prima di lanciare attacchi ransomware e wiper. Il target politico era la Mujahedeen-e Khalq (MEK), gruppo di opposizione iraniano ospitato in Albania.

Il trend evidente è la convergenza tra APT russi e iraniani sull'abuso di primitive amministrative Exchange e Azure AD come alternativa al malware tradizionale. La combinazione di ApplicationImpersonation, service principal backdoor e consent Graph API abusati definisce un TTP maturo che ogni programma di threat hunting su tenant M365 deve monitorare come priorità.

MITRE ATT&CK: T1098.002, tattiche TA0003 e TA0004. Gruppi: G0007 (APT28), G0016 (APT29), G0059 (Magic Hound). Campagne: C0024 (SolarWinds Compromise), C0038 (HomeLand Justice). Mitigazioni: M1026, M1032, M1042. Detection: DET0373 con analytics AN1051 e AN1052. MITRE D3FEND per contromisure User Behavior Analysis e Administrative Network Activity Analysis. Sezioni operative integrate con conoscenza professionale su tool open source (ExchangeOnlineManagement, GAM, MailSniper, ROADtools) e cmdlet Exchange nativi documentati da Microsoft.