Phishing Interno: Internal Spearphishing (T1534)
Internal Spearphishing rappresenta una delle tecniche più insidiose del catalogo MITRE ATT&CK perché ribalta il principio fondamentale su cui si basa la fiducia nelle comunicazioni aziendali: un messaggio proveniente da un collega, da un dirigente o dal reparto HR viene naturalmente considerato attendibile. L'avversario sfrutta esattamente questa presunzione, utilizzando un account già compromesso per inviare email, messaggi Teams o Slack ad altri utenti della stessa organizzazione.
La tecnica si colloca nella tattica TA0008 (Lateral Movement) e rappresenta un ponte cruciale tra il primo compromesso e l'espansione del controllo sull'ambiente. A differenza del phishing esterno, non deve superare filtri perimetrali, gateway anti-spam o meccanismi di reputazione: il traffico è interno, il mittente è legittimo, il dominio è quello aziendale. I payload tipici includono allegati con macro, link a portali di credential harvesting che mimano SSO aziendali, o richieste di azioni sensibili tramite ingegneria sociale sfruttando Impersonation.
L'impatto operativo è significativo: campagne come Operation Dream Job attribuita a Lazarus hanno dimostrato come il pivot interno via email possa amplificare esponenzialmente la superficie compromessa. Gruppi come Gamaredon, Leviathan, Kimsuky e HEXANE hanno strutturato interi playbook attorno a questa tecnica, spesso indirizzando specificamente figure con privilegi elevati o accesso a informazioni sensibili come executive, HR e personale IT.
In un ingaggio red team, la simulazione di Internal Spearphishing richiede prerequisiti chiari: possesso di credenziali valide o controllo di un endpoint con sessione Outlook/Teams attiva. La regola d'oro è ottenere autorizzazione scritta esplicita che copra l'invio di comunicazioni interne simulate, con lista di destinatari concordata e clausola di safety debrief immediato.
Sul fronte Microsoft 365, dopo aver compromesso un account (via password spray, token theft o phishing esterno preliminare), l'accesso alla mailbox può avvenire tramite la Graph API. Strumenti come GraphRunner (open source) permettono l'enumerazione dei contatti frequenti della vittima e l'invio di messaggi mantenendo il thread conversazionale, aumentando drasticamente la credibilità. Un pattern realistico è il reply-chain hijack: si risponde a una conversazione legittima già in corso allegando il payload, tecnica documentata anche in operazioni di gruppi come Gamaredon.
Per la generazione di payload plausibili in laboratorio, MacroPack Community (freemium) o Donut (open source) permettono di creare documenti Office armati o shellcode loader. Il vettore link è generalmente più efficace: framework come Evilginx3 (open source) o Modlishka (open source) implementano reverse proxy per catturare credenziali e cookie di sessione, bypassando MFA basato su OTP. La landing page va clonata dal portale SSO reale del cliente, mai da template generici.
Su endpoint compromessi Windows con Outlook installato, è possibile automatizzare l'invio via COM object direttamente da uno script PowerShell che sfrutta la sessione utente attiva, evitando prompt di autenticazione:
$outlook = New-Object -ComObject Outlook.Application $mail = $outlook.CreateItem(0)
Questo approccio, storicamente usato da Gamaredon tramite moduli VBA persistenti in Outlook, non richiede credenziali esplicite e produce email indistinguibili da quelle legittime dell'utente.
Per il canale Microsoft Teams, TeamsPhisher (open source) sfrutta una debolezza nelle policy di federazione per consegnare allegati a tenant esterni, ma la variante interna è ancora più efficace: da account compromesso si inviano messaggi diretti con link o file, spesso con pretesto di urgenza IT o richieste HR.
In ambiente Linux, il vettore è tipicamente Thunderbird o Evolution: automazione via xdotool per interagire con la GUI o direttamente via SMTP autenticato con credenziali estratte dal profilo utente. La telemetria da generare durante l'esercizio deve includere timestamp, hash dei payload e destinatari, per permettere al blue team una ricostruzione completa post-esercizio.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.