Iscriviti al webinar gratuito del 12 Maggio per diventare Forensic Analyst! Scopri di più
Corso Ethical Hacker: accedi alla promozione fino al 30 Arile! Scopri di più
Raccolta Email Locale: Local Email Collection (T1114.001)
La tecnica Local Email Collection descrive il comportamento di un avversario che accede ai file di posta elettronica archiviati direttamente sul sistema della vittima per estrarne informazioni sensibili. Si inserisce nella fase di Collection (TA0009) della kill chain, quella in cui l'attaccante ha già un punto d'appoggio nell'ambiente compromesso e sta raccogliendo dati utili al proprio obiettivo — che si tratti di credenziali, proprietà intellettuale o materiale per campagne di phishing successive.
Il bersaglio principale sono i file di dati di Microsoft Outlook: i file .ost (Offline Storage Table), utilizzati dagli account IMAP a partire da Outlook 2016 e da tutti gli account Exchange, e i file .pst (Personal Storage Table), tipici degli account POP e degli IMAP su versioni precedenti. Le dimensioni possono raggiungere i 50 GB nelle versioni moderne di Outlook, il che rende ogni singolo file un archivio potenzialmente enorme di comunicazioni aziendali. I percorsi di archiviazione predefiniti — C:\Users\<username>\Documents\Outlook Files e C:\Users\<username>\AppData\Local\Microsoft\Outlook — sono noti e facilmente enumerabili da qualsiasi processo con i privilegi dell'utente.
I numeri del framework confermano che questa tecnica è tutt'altro che di nicchia: 6 gruppi APT, 11 software tra malware e tool offensivi, 1 campagna documentata e 2 mitigazioni ufficiali. Dall'espionaggio energetico alla preparazione di campagne di spear-phishing, la raccolta locale di email resta un passaggio frequente nelle operazioni di intrusione a lungo termine.
L'obiettivo in un engagement red team è dimostrare che un utente compromesso — anche con privilegi standard — può localizzare e esfiltrare archivi di posta in pochi secondi. La catena d'attacco si articola in tre fasi: enumerazione, staging e trasferimento.
Fase 1 — Enumerazione dei file di posta. Il punto di partenza è individuare tutti i file .pst e .ost sul disco. Su Windows, il metodo più silenzioso sfrutta la riga di comando nativa:
dir /s /b C:\Users*.pst C:\Users*.ost 2>nul
Questo comando attraversa ricorsivamente le home directory restituendo solo i percorsi completi. In PowerShell si può affinare il risultato filtrando per dimensione, così da identificare subito gli archivi più ricchi di contenuto:
Get-ChildItem -Path C:\Users -Recurse -Include .pst,.ost -ErrorAction SilentlyContinue | Sort-Object Length -Descending | Select-Object FullName, @{N='SizeMB';E={[math]::Round($_.Length/1MB,2)}}
Su un dominio, il comando WMI usato da Chimera dimostra che l'enumerazione può estendersi a host remoti senza bisogno di RDP:
wmic /node:
Fase 2 — Staging e compressione. Prima dell'esfiltrazione, conviene copiare i file in una directory temporanea e comprimerli. Il binario nativo compress di Windows o il modulo PowerShell integrato funzionano bene:
Compress-Archive -Path "C:\Users<username>\Documents\Outlook Files\backup.pst" -DestinationPath C:\Windows\Temp\o.zip
Per i file .ost in uso da Outlook, il processo OUTLOOK.EXE potrebbe tenere un lock sul file. In quel caso, il tool Volume Shadow Copy (vssadmin) permette di creare una snapshot e copiare il file senza interruzioni — tecnica comune nei ransomware e perfettamente replicabile in lab.
Fase 3 — Parsing selettivo. Non sempre serve esfiltrare l'intero archivio. Lo strumento pst-utils (open source, pacchetto libpst su distribuzioni Linux) converte un file .pst in formato mbox per l'analisi locale:
readpst -o /tmp/email_output -r target_backup.pst
In ambito red team Windows, Empire (open source) e Pupy (open source) offrono moduli dedicati che interagiscono direttamente con la sessione Outlook attiva dell'utente, enumerando cartelle e messaggi senza nemmeno toccare il file system. Seatbelt (open source) di GhostPack include un check OutlookDownloads che enumera rapidamente i file scaricati dalle email.
Il consiglio operativo è documentare ogni file individuato con hash e dimensione: il report sarà molto più efficace se mostra al cliente che 30 GB di email executive erano raggiungibili da un account con privilegi minimi.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo