Compromissione Account Email: Email Accounts (T1586.002)

Trattandosi di una tecnica di Resource Development, l'obiettivo in un ingaggio red team non è violare account reali di terzi, ma simulare in modo lab-safe l'intera catena che porta all'uso di caselle compromesse per il phishing successivo.

Il punto di partenza tipico è la raccolta di credenziali. In laboratorio si ricostruisce lo scenario del riuso di password interrogando dataset di breach controllati: strumenti come h8mail (open source) permettono di correlare indirizzi email a leak noti, mentre theHarvester (open source) enumera indirizzi aziendali da fonti pubbliche per definire il target set. Per verificare l'esposizione di credenziali si consulta il servizio Have I Been Pwned (freemium), utile a modellare quali account sarebbero realisticamente attaccabili tramite password reuse.

La fase di brute forcing simulato contro portali di posta si esegue in un ambiente isolato con Hydra (open source) o NetExec (open source), quest'ultimo particolarmente efficace per spray di credenziali contro endpoint di autenticazione. Contro tenant cloud si emula il password spraying su Microsoft 365 con tool come MFASweep (open source) per individuare policy MFA incoerenti, oppure o365spray (open source) per enumerazione utenti e spray mirato. Su infrastruttura Google Workspace di test si valida la robustezza delle policy di accesso condizionale.

Una volta "acquisito" un account nel range di laboratorio, la simulazione prosegue con la costruzione delle esche. Per generare e tracciare campagne di spearphishing autorizzate si usa GoPhish (open source), che consente di clonare pagine di login e misurare i click rate. Il thread hijacking — firma operativa di gruppi come TA577 — si riproduce esportando conversazioni email di test in formato .eml e reiniettando risposte con payload allegati, per verificare la reazione dei controlli.

Una catena d'attacco realistica da riprodurre in poligono:

• ricognizione OSINT degli indirizzi bersaglio con theHarvester;
• validazione del riuso password contro dataset di breach controllati;
• spray autenticazione contro il tenant cloud di laboratorio;
• uso della casella "compromessa" per inviare spearphishing con GoPhish, riproducendo il pattern di APT29 e Kimsuky sull'invio da mittenti fidati;
• simulazione dell'acquisizione di infrastruttura, come la creazione di trial account da email violate osservata nella campagna Salesforce Data Exfiltration.

Ogni test va eseguito solo su asset di proprietà o con autorizzazione scritta esplicita.

La compromissione di account email avviene per lo più fuori dal perimetro difensivo, quindi la rilevazione diretta è difficile: come indica l'analitica AN1993, conviene spostare l'attenzione sulle fasi correlate del ciclo d'attacco, cioè quando l'account violato viene usato — durante Initial Access o phishing. Gli artefatti digitali chiave sono l'account utente, la sessione di autenticazione e il messaggio email.

La fonte di log primaria è l'autenticazione. Nei tenant cloud si monitorano i sign-in log (Azure AD / Entra ID) e i log di audit di Exchange Online o Google Workspace, cercando pattern anomali che tradiscono un accesso illegittimo:

• login da geolocalizzazioni o ASN incoerenti con l'utente, soprattutto viaggi impossibili;
• autenticazioni riuscite dopo raffiche di tentativi falliti (indicatore di brute forcing o spray);
• accessi tramite protocolli legacy che aggirano l'MFA (IMAP/POP/SMTP basic auth);
• creazione di inbox rules sospette che spostano o cancellano automaticamente le risposte, tecnica usata per nascondere il thread hijacking.

Sul versante messaggistica, i gateway di posta e i log SMTP aiutano a individuare l'uso malevolo di caselle legittime: picchi improvvisi di invio da un singolo account interno, discrepanze tra header Reply-To e mittente, e soprattutto risposte a thread esistenti con allegati o link inattesi — la firma di TA577 e di MirrorFace in Operation AkaiRyū.

Sul fronte preventivo (Harden), la mitigazione M1056 (Pre-compromise) raccomanda l'applicazione rigorosa di SPF, DKIM e DMARC per contrastare lo spoofing, l'adozione di soluzioni di email security come Microsoft Defender for Office 365, Proofpoint o Mimecast, e l'enforcement di MFA resistente al phishing con blocco dell'autenticazione legacy. Isolare l'account compromesso significa forzare la revoca dei token di sessione e il reset credenziali immediato al primo segnale.

Per la caccia comportamentale, una query utile in Microsoft Sentinel o Defender parte dalla tabella SigninLogs correlata con OfficeActivity per legare un accesso anomalo alla successiva creazione di regole o invii massivi. Con Sigma (open source) esistono regole pronte per rilevare inbox rule malevole e mass mailing.

Sui falsi positivi: viaggiatori legittimi, VPN aziendali, servizi di newsletter e integrazioni SaaS che inviano a nome dell'utente generano rumore. Il tuning richiede baseline per utente e correlazione multi-segnale — un singolo indicatore raramente basta a confermare la compromissione.

L'analisi forense di un account email compromesso si sviluppa su due piani: le fonti cloud/server di posta dove risiede la prova primaria dell'abuso, e gli artefatti endpoint che emergono quando l'account violato tocca la vittima finale. Gli artefatti digitali di riferimento sono la sessione di autenticazione, le regole della mailbox e i messaggi stessi.

Sul piano server, la ricostruzione della timeline parte dai log di audit. In Microsoft 365 l'Unified Audit Log registra eventi di login, creazione di inbox rules, accessi delegati e operazioni di invio: si estrae con Search-UnifiedAuditLog in PowerShell o, per raccolte strutturate, con il Microsoft-Extractor-Suite (open source) e con DFIR-O365RC (open source), pensati proprio per l'acquisizione forense dei tenant. Elementi da correlare cronologicamente:

• primo accesso anomalo (indirizzo IP, user agent, ASN);
• creazione o modifica di regole di posta che occultano le risposte;
• eventuale registrazione di nuovi metodi MFA da parte dell'attaccante;
• ondate di invio in uscita che segnano l'inizio dello spearphishing.

Gli header dei messaggi inviati o dirottati sono prova centrale. L'analisi dei campi Received, Message-ID, In-Reply-To e References consente di distinguere un thread hijacking autentico — dove l'attaccante risponde dentro una conversazione reale — da un semplice spoofing. I file .eml e .msg recuperati vanno preservati con hash e analizzati per allegati e link.

Sul piano endpoint, gli artefatti compaiono dopo il contatto con l'infrastruttura malevola: cache di Outlook (.ost), file .eml scaricati, voci di ShellBags e MRU che indicano l'apertura di allegati, e — su Windows — le Prefetch dei processi lanciati dai documenti esca. La correlazione con i log proxy/DNS individua la connessione ai domini acquisiti tramite account compromessi.

Sul piano delle campagne documentate, la casistica offre pattern chiari. In Operation AkaiRyū (giugno–settembre 2024), MirrorFace ha usato account compromessi per lo spearphishing contro entità giapponesi ed europee, introducendo il malware UPPERCUT. Nella campagna Salesforce Data Exfiltration (da ottobre 2024), gli attori hanno sfruttato email compromesse per creare trial account Salesforce, dimostrando come la casella violata alimenti l'acquisizione di ulteriore infrastruttura — un dettaglio che l'analista deve cercare nei log SaaS collegati, non solo nella posta. La ricostruzione retrospettiva su WHOIS storico e passive DNS completa il quadro dei domini registrati con quegli indirizzi.

La compromissione di account email è una tecnica trasversale che unisce cyberspionaggio statale e criminalità finanziaria: i dati la associano a 14 gruppi, con una netta prevalenza di attori state-sponsored che privilegiano lo spearphishing da mittenti fidati.

APT28 e APT29, entrambi di matrice russa, illustrano due sfumature. Il primo usa account violati per inviare email di credential phishing; il secondo, oltre ad abilitare campagne di phishing, prende il controllo di account dormienti — una scelta astuta che riduce le probabilità che il legittimo proprietario noti l'abuso. Sempre nell'orbita russa, Star Blizzard sfrutta le caselle compromesse per colpire a catena i contatti della vittima originaria, propagando la fiducia relazionale lungo la rete sociale del bersaglio.

Nel panorama iraniano si distinguono OilRig, Magic Hound e HEXANE. Magic Hound è particolarmente insidioso perché compromette account email personali con credenziali legittime per raccogliere ulteriori informazioni sulla vittima, saldando la ricognizione all'uso operativo della casella. La regione mediorientale include anche WIRTE, che ha veicolato spearphishing mirato attraverso email violate — tra cui quella di un rivenditore tecnologico con base in Israele.

L'Asia orientale è densamente rappresentata. Il nordcoreano Kimsuky, i cinesi Mustang Panda e Leviathan e l'afghano-orientato IndigoZebra convergono tutti sul medesimo schema: appropriarsi di account legittimi per dare credibilità allo spearphishing. Mustang Panda e IndigoZebra, in particolare, integrano stabilmente le caselle compromesse nelle rispettive operazioni. A questi si aggiungono il sudamericano APT-C-36, che le usa con regolarità nelle sue campagne, e il cinese MirrorFace, protagonista di Operation AkaiRyū contro Giappone ed Europa.

Sul versante finanziario emergono profili diversi. LAPSUS$ ha adottato un approccio insider-driven, pagando dipendenti, fornitori e partner delle organizzazioni bersaglio per ottenere credenziali — un modello che aggira completamente le difese tecniche. TA577, distributore di malware, ha fatto del thread hijacking da email compromesse la propria firma operativa. La campagna Salesforce Data Exfiltration, con gli attori UNC6040/UNC6240 legati al collettivo "The Com", mostra infine come le caselle violate alimentino la creazione di trial account per il furto dati su larga scala.

Il trend è chiaro: l'account email legittimo è una risorsa di fiducia riutilizzabile, valida sia per l'inganno mirato sia per l'espansione dell'infrastruttura offensiva.

MITRE ATT&CK: tecnica T1586.002 (Email Accounts), tattica TA0042. Gruppi G0007, G0016, G0049, G0059, G0065, G0090, G0094, G0099, G0129, G0136, G1001, G1004, G1033, G1037. Campagne C0059 (Salesforce Data Exfiltration), C0060 (Operation AkaiRyū). Mitigazione M1056. Detection DET0861/AN1993. La pagina MITRE D3FEND della tecnica non è risultata accessibile in fase di redazione. Tool di detection citati (Sigma, Microsoft-Extractor-Suite, DFIR-O365RC) documentati nei rispettivi repository pubblici. Parte dei comandi e degli strumenti operativi deriva da conoscenza professionale di cybersecurity.