Regole Email Malevole: Email Hiding Rules (T1564.008)
La tecnica T1564.008 — Email Hiding Rules appartiene alla tattica TA0005 (Defense Evasion) e sfrutta una funzionalità legittima dei client di posta: le regole di casella. Un attaccante che ha ottenuto credenziali valide o accesso a una mailbox compromessa crea filtri automatici che spostano, marcano come lette o eliminano messaggi in ingresso corrispondenti a parole chiave sensibili.
L'obiettivo è impedire che l'utente legittimo o il team di sicurezza noti comunicazioni relative all'incidente. Filtri tipici intercettano termini come phish, malware, suspicious, hack, invoice, o nomi di vendor di sicurezza. In questo modo l'avversario può nascondere alert SOC, risposte a campagne di Internal Spearphishing partite dall'account compromesso, oppure traffico C2 veicolato via email.
Su ambienti Microsoft la manipolazione avviene tipicamente tramite i cmdlet PowerShell New-InboxRule e Set-InboxRule, oppure attraverso l'API Graph. In Exchange gli amministratori compromessi possono spingersi oltre e creare transport rule che agiscono a livello organizzativo, filtrando la posta di tutti gli utenti. Su macOS e Linux la persistenza passa da file di configurazione locale (plist per Mail.app, script Sieve lato server).
Due gruppi documentano l'abuso di questa tecnica: FIN4 (G0085), noto per l'esfiltrazione di informazioni finanziarie non pubbliche, e Scattered Spider (G1015), che utilizza queste regole per sopprimere gli alert dei prodotti di sicurezza indirizzati al personale IT compromesso.
In un ingaggio red team la creazione di regole email malevole è tipicamente uno step post-compromissione dell'account, utile a coprire attività successive come lo spearphishing interno o l'esfiltrazione di dati via email.
Su un tenant Microsoft 365 con credenziali valide, il metodo più diretto passa da Exchange Online PowerShell. Dopo aver installato il modulo ExchangeOnlineManagement (open source, PowerShell Gallery) e autenticato la sessione con Connect-ExchangeOnline, la creazione della regola è immediata:
New-InboxRule -Mailbox target@domain.tld -Name "SystemFilter" -SubjectOrBodyContainsWords "phish,malware,suspicious,hack" -DeleteMessage $true
La regola elimina automaticamente qualsiasi messaggio contenente le parole chiave. Una variante meno rumorosa sposta i messaggi in una sottocartella nascosta invece di cancellarli, riducendo il segnale di "posta mancante":
New-InboxRule -Mailbox target@domain.tld -Name "Archive" -SubjectOrBodyContainsWords "security,alert,incident" -MoveToFolder "target@domain.tld:\RSS Feeds\Archive" -MarkAsRead $true
Per un'operazione a impatto organizzativo, con privilegi di Exchange Administrator, si può creare una transport rule che intercetta la posta prima della consegna:
New-TransportRule -Name "IntSecFilter" -SubjectContainsWords "incident,breach" -DeleteMessage $true
Un approccio alternativo senza PowerShell sfrutta Microsoft Graph API (gratuito con account M365): l'endpoint messageRules del client Graph permette la creazione di regole via token OAuth ottenuto tramite device code phishing o consent phishing. Tool come GraphRunner (open source, di Beau Bullock/Black Hills) e ROADtools (open source) automatizzano ricognizione e manipolazione di mailbox in scenari post-exploitation.
Su macOS, con accesso locale al profilo utente, la modifica dei file ~/Library/Mail/V10/MailData/SyncedRules.plist e RulesActiveState.plist tramite defaults write o editor plist permette di inserire regole senza passare dall'interfaccia. Su Linux, se l'ambiente usa server IMAP con supporto Sieve (open source, standard RFC 5228), un file .sieve caricato via ManageSieve consente filtri equivalenti:
require ["fileinto"]; if anyof (header :contains "Subject" "phish", body :contains "malware") { discard; stop; }
In laboratorio conviene testare in un tenant M365 developer (gratuito) o in un lab Exchange isolato. Tool come MailSniper (open source, di Beau Bullock) supportano enumerazione e creazione di regole ma sono orientati a versioni Exchange on-prem meno recenti — verificare compatibilità prima dell'uso in ambienti moderni.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.