Email Hiding Rules: Nascondere Tracce nelle Caselle Compromesse (T1564.008)
Gli avversari sfruttano le regole di posta elettronica per occultare email in arrivo nelle caselle compromesse. Questa tecnica manipola funzionalità legittime dei client di posta - come lo spostamento automatico in cartelle secondarie, la marcatura come "già lette" o l'eliminazione diretta - per nascondere comunicazioni sospette o alert di sicurezza.
L'approccio rientra nella tattica TA0005 (Defense Evasion), collocandosi nella fase di mantenimento della kill chain quando l'attaccante cerca di preservare l'accesso evitando il rilevamento. Le regole possono essere create tramite PowerShell con cmdlet come New-InboxRule o Set-InboxRule, oppure direttamente nelle interfacce dei client email.
L'impatto è significativo: 2 gruppi APT hanno utilizzato attivamente questa tecnica per compromissioni prolungate. Le regole malevole filtrano tipicamente parole chiave come "malware", "suspicious", "phish" o "hack" nei corpi e negli oggetti dei messaggi, impedendo che alert critici raggiungano gli utenti o i team di sicurezza.
Per testare la resilienza delle caselle email aziendali, inizia con l'accesso a una mailbox di test tramite PowerShell. Il comando base per creare una regola che nasconde email sospette è:
New-InboxRule -Name "Cleanup" -SubjectContainsWords "malware","phish","hack" -MoveToFolder ":\Deleted Items" -DeleteMessage $true
Questa regola intercetta e elimina silenziosamente qualsiasi email contenente termini di sicurezza nell'oggetto. Per un approccio più sofisticato che sposta i messaggi in cartelle poco visibili:
New-InboxRule -Name "Archive Old" -BodyContainsWords "security alert","incident" -MoveToFolder ":\Archive\2019" -MarkAsRead $true
In ambienti Exchange, puoi verificare le regole esistenti con Get-InboxRule -Mailbox victim@company.com e modificarle con Set-InboxRule. Per simulare scenari più avanzati, crea regole che agiscono su mittenti specifici:
New-InboxRule -Name "Vendor Updates" -From "security@vendor.com" -DeleteMessage $true -StopProcessingRules $true
Su client Outlook, le regole possono essere create programmaticamente tramite COM object o manualmente attraverso l'interfaccia. Per Linux, testa filtri server-side con sieve scripts che reindirizzano email contenenti pattern specifici.
L'escalation prevede la creazione di Transport Rules a livello organizzativo (richiede privilegi amministrativi Exchange):
New-TransportRule -Name "Compliance Filter" -SubjectContainsWords "breach","compromise" -DeleteMessage $true
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo