Cancellazione Dati Mailbox: Clear Mailbox Data (T1070.008)

In un esercizio red team autorizzato, la simulazione di T1070.008 richiede la ricostruzione realistica delle catene operative osservate. In ambiente Windows/Exchange il punto di partenza è il modulo ExchangePowerShell (open source, Microsoft), che consente sessioni remote verso Exchange on-prem o Exchange Online. Dopo aver stabilito una sessione autenticata, l'operatore può enumerare export in corso e rimuoverne le tracce:

Get-MailboxExportRequest | Remove-MailboxExportRequest -Confirm:$false

Questo replica esattamente il comportamento documentato durante la SolarWinds Compromise (C0024), dove APT29 ha ripulito le richieste di export dopo aver esfiltrato caselle di interesse. Un secondo scenario prevede la manipolazione di transport rule per silenziare alert:

New-TransportRule -Name "Filter" -HeaderContainsMessageHeader "X-Alert" -DeleteMessage $true

Sulla postazione client, la simulazione può includere l'eliminazione di PST/OST in *%LOCALAPPDATA%\Microsoft\Outlook* o dei file Unistore.db della nuova app Mail di Windows in AppData\Local\Comms\Unistore\data.

Su Linux, la catena si concentra sulle mailbox in formato mbox. Le operazioni classiche includono la cancellazione diretta di ~/Maildir o la manipolazione di /var/spool/mail/$USER e /var/mail/. L'utility mail consente eliminazione interattiva con i comandi d seguito da q, mentre operazioni scriptate ricorrono a sed, truncate o semplice rm. Per un red team è importante testare anche il journaling di systemd, perché journalctl --vacuum-time (open source) può rimuovere evidenze di sessioni SMTP.

Su macOS, la tecnica sfrutta AppleScript per interagire con Mail.app senza attivare le classiche detection basate su file system:

osascript -e 'tell application "Mail" to delete (messages of inbox whose subject contains "alert")'

In parallelo, l'eliminazione diretta dei file in ~/Library/Mail/V/* rimuove i messaggi cache ma lascia inconsistenze rilevabili. Per orchestrare l'intera catena in laboratorio, framework come Atomic Red Team (open source, Red Canary) e Caldera (open source, MITRE) offrono moduli riutilizzabili. Per emulare la componente malware, il comportamento di Goopy e LunarMail — che cancellano messaggi C2 dopo l'uso — può essere replicato scrivendo un piccolo client MAPI che imposta il flag PR_DELETE_AFTER_SUBMIT sui messaggi inviati, riproducendo fedelmente l'artefatto documentato.

La detection di T1070.008 si fonda sulla correlazione tra log di piattaforma mail, telemetria endpoint e audit di amministrazione. Il primo pilastro è l'Unified Audit Log di Microsoft 365 (a pagamento, incluso in licenze E3/E5), dove gli eventi Remove-MailboxExportRequest, New-TransportRule, Set-TransportRule e Remove-InboxRule devono generare alert ad alta priorità. In Exchange on-prem, gli stessi cmdlet sono tracciati nell'Admin Audit Log, interrogabile con Search-AdminAuditLog.

Sul lato endpoint Windows, Sysmon (open source, Microsoft Sysinternals) con configurazione SwiftOnSecurity o Olaf Hartong modular offre visibilità su:

• EventID 1 per creazione processo powershell.exe con command line contenente pattern regex tipo Remove-Mailbox\w+Request
• EventID 11 per eliminazione di Unistore.db o file .pst/.ost
• EventID 23 per file delete con hash noto

In parallelo, l'attivazione di PowerShell Script Block Logging (EventID 4104 nel canale Microsoft-Windows-PowerShell/Operational) permette di catturare anche cmdlet offuscati o codificati in Base64. La regola di detection deve considerare che l'esecuzione legittima di Remove-MailboxExportRequest da parte di admin è frequente in operazioni di eDiscovery; per ridurre falsi positivi conviene correlare con il ruolo dell'utente esecutore e con l'orario (esecuzioni fuori orario o da workstation non-admin sono sospette).

Su Linux, la telemetria si basa su auditd (open source) con regole mirate:

-w /var/spool/mail/ -p wa -k mail_tamper -w /var/mail/ -p wa -k mail_tamper -a always,exit -F arch=b64 -S unlink,unlinkat -F path=/var/mail -k mail_delete

La correlazione con execve di mail, mailx o procmail dopo sessioni SSH sospette (autenticazione da IP non abituale) alza il segnale. Su macOS, l'Unified Log (log stream --predicate) e osquery (open source) consentono di intercettare AppleScript che referenzia Mail.app insieme a delete.

Dal punto di vista dei controlli preventivi, la mitigazione M1047 (Audit) raccomanda revisioni periodiche delle transport rule tramite Get-TransportRule | Where-Object {$_.WhenChanged -gt (Get-Date).AddDays(-7)}, mentre M1029 (Remote Data Storage) impone l'inoltro immediato dei log verso SIEM esterno (Splunk, Elastic, Sentinel — tutti freemium/a pagamento) per impedire manipolazioni locali. I falsi positivi principali derivano da attività legittime di eDiscovery, migrazione mailbox e retention policy: la tuning list deve includere account di servizio noti e finestre di manutenzione pianificate.

L'analisi forense di T1070.008 si scontra con l'obiettivo stesso della tecnica: la distruzione di evidenze. La strategia di indagine si sposta quindi su fonti secondarie e artefatti collaterali che l'attaccante raramente ripulisce completamente.

Su Windows/Exchange, il primo punto di raccolta è l'Admin Audit Log, esportabile con Search-AdminAuditLog -Cmdlets Remove-MailboxExportRequest -StartDate ... -EndDate .... Anche se l'attaccante ha rimosso la richiesta di export, il log della rimozione stessa resta tracciato e permette di ricostruire l'operazione. Le Exchange Transaction Logs (.log in V15\Mailbox) conservano transazioni ESE che possono essere ricostruite con ESEDatabaseView (gratuito, NirSoft) o libesedb (open source). Sul client, i file NST/OST in *%LOCALAPPDATA%\Microsoft\Outlook* mantengono cache dei messaggi anche dopo la sync con il server; strumenti come libpff (open source) e Autopsy (open source) permettono il carving di email eliminate. Il file Unistore.db (SQLite) della Mail app moderna è analizzabile con DB Browser for SQLite (open source): tabelle Message e Recipient conservano tombstone anche dopo la delete logica.

La timeline si costruisce correlando: EventID 4104 PowerShell, EventID 4688 creazione processo, EventID 1 Sysmon, timestamp NTFS $MFT e $LogFile (parsabili con MFTECmd open source di Eric Zimmerman), e USN Journal (fsutil usn readjournal). Il tool Timeline Explorer (gratuito) consente la visualizzazione consolidata.

Su Linux, la ricostruzione parte da /var/log/mail.log, /var/log/maillog e dal journal systemd (journalctl -u postfix). L'analisi degli inode con debugfs su ext4 o zdb su ZFS può recuperare file mbox eliminati se non è passato molto tempo. I file di configurazione /etc/aliases e ~/.forward possono rivelare redirezioni malevole preesistenti. The Sleuth Kit (open source) con fls -r -d elenca inode deallocati.

Su macOS, la directory ~/Library/Mail/V10/ (o versione corrente) contiene .emlx per singolo messaggio: eliminazioni recenti lasciano tracce in FSEvents (/System/Volumes/Data/.fseventsd), parsabili con FSEventsParser (open source, dhurley). L'Unified Log conserva eventi Mail.app fino a 30 giorni.

Nella campagna SolarWinds Compromise (C0024), APT29 ha usato Remove-MailboxExportRequest dopo aver esfiltrato mailbox di dirigenti; l'unica traccia residua nei casi documentati è stata l'evento di audit della rimozione stessa, insieme a metadati di export nel Content Search log. Questo rafforza l'importanza dell'inoltro immediato dei log verso repository remoti immutabili (M1029) — write-once come AWS S3 Object Lock (a pagamento) o Azure Blob immutable storage (a pagamento) — perché ogni ritardo aumenta la finestra di manipolazione.

L'adozione di T1070.008 riflette una maturità operativa orientata all'anti-forensics e alla persistenza di lungo periodo negli ambienti di posta. I dati MITRE mostrano un pattern chiaro: la tecnica è usata quasi esclusivamente dopo fasi estese di Email Collection (T1114) o Exfiltration Over Alternative Protocol (T1048), come chiusura pulita dell'operazione.

APT29 (attribuito al servizio SVR russo secondo le dichiarazioni congiunte US/UK dell'aprile 2021) rappresenta il caso paradigmatico. Durante la SolarWinds Compromise (C0024, 2019-08 / 2021-01), il gruppo ha compromesso la catena di build del prodotto Orion iniettando codice malevolo distribuito poi come normale aggiornamento software. Tra le circa 18.000 organizzazioni che hanno ricevuto il payload, un sottoinsieme molto più ristretto ha subito attività di follow-on, che ha incluso password spraying, furto di token, abuso di API e spear phishing. In questo contesto APT29 ha usato Remove-MailboxExportRequest per ripulire le tracce degli export di mailbox di alto valore, dimostrando conoscenza approfondita degli audit trail di Exchange. La campagna è stata etichettata industrialmente come StellarParticle, con alias UNC2452, NOBELIUM, Dark Halo e SolarStorm.

APT42 (G1044) adotta un approccio più tattico: elimina le email di notifica login e ripulisce la cartella Sent per mascherare l'uso di account compromessi come piattaforma per phishing verso altri obiettivi. Questo pattern indica un focus sulle operazioni di credential access e lateral phishing dove la persistenza sull'account legittimo è essenziale.

Scattered Spider (G1015), attore noto per social engineering aggressivo verso help desk e per attacchi a settori telco, hospitality e retail nordamericani, ha manualmente eliminato email di alert relative ad attività sospette sull'account. La manualità dell'operazione è coerente con il modus operandi del gruppo, che privilegia interazione hands-on-keyboard rispetto ad automazione.

Sul fronte malware, Goopy (S0477) integra la cancellazione delle email C2 direttamente nel loop di comunicazione: dopo aver letto il contenuto del comando, elimina il messaggio dalla casella per non lasciare tracce del canale. LunarMail (S1142) usa un approccio più raffinato impostando il flag MAPI PR_DELETE_AFTER_SUBMIT, che istruisce il client a rimuovere automaticamente i messaggi dopo l'invio — una scelta ingegnosa perché sposta la responsabilità dell'eliminazione sul client stesso, evitando chiamate API esplicite di delete che sarebbero più facilmente loggate.

Il trend che emerge è duplice: gli attori state-sponsored (APT29, APT42) integrano la tecnica in playbook consolidati per operazioni di intelligence, mentre gruppi criminal-hybrid come Scattered Spider la usano opportunisticamente. La crescente adozione di malware con logica di auto-cancellazione integrata (Goopy, LunarMail) suggerisce che la tecnica si sta spostando dall'azione manuale post-exploit all'automazione by-design.

MITRE ATT&CK T1070.008 (Clear Mailbox Data), tattica TA0005. Gruppi G1015 (Scattered Spider), G1044 (APT42). Software S0477 (Goopy), S1142 (LunarMail). Campagna C0024 (SolarWinds Compromise). Mitigazioni M1022, M1029, M1047. Detection DET0266 con analytics AN0737-AN0740. Framework difensivo MITRE D3FEND per artefatti mailbox e process. Il documento integra conoscenza professionale verificata su tool open source (Sysmon, auditd, osquery, libpff, MFTECmd, Autopsy, Atomic Red Team) e piattaforme commerciali per detection e log management.