Raccolta Email Locale: Local Email Collection (T1114.001)
La tecnica T1114.001 — Local Email Collection descrive l'estrazione di dati di posta elettronica direttamente dai file locali del client email della vittima, con particolare attenzione agli archivi di Microsoft Outlook. Si colloca nella tattica TA0009 (Collection) della kill chain MITRE ATT&CK, tipicamente eseguita dopo una fase di accesso iniziale e movimento laterale, quando l'attaccante ha già ottenuto credenziali o esecuzione di codice sull'endpoint bersaglio.
Outlook conserva i messaggi in due formati principali: i file .ost (Offline Storage Table), usati per la cache locale di account Exchange e IMAP moderni, e i file .pst (Personal Storage Table), impiegati per archivi personali, account POP e IMAP nelle versioni fino a Outlook 2013. Da Outlook 2010 in poi, un singolo .ost può superare i 50 GB, rendendolo un bersaglio ricco. I percorsi predefiniti sono C:\Users<username>\Documents\Outlook Files e C:\Users<username>\AppData\Local\Microsoft\Outlook.
L'impatto è duplice: da un lato la sottrazione di comunicazioni riservate (contratti, credenziali, dati personali), dall'altro l'alimentazione di campagne di thread hijacking e spear phishing, tecnica adottata sistematicamente da attori come QakBot e Emotet. I dati MITRE censiscono 6 gruppi APT, 11 famiglie di malware/tool e 1 campagna che sfruttano attivamente questa tecnica, con motivazioni che spaziano dal cyber espionage statuale al crimine finanziario.
In un esercizio red team autorizzato, la raccolta di file Outlook locali segue una sequenza prevedibile: individuazione dei percorsi, verifica dei lock del processo outlook.exe, copia (a caldo o previo shadow copy) e successiva esfiltrazione staged. Il passo iniziale è enumerare le cartelle standard con PowerShell:
Get-ChildItem -Path "$env:USERPROFILE\AppData\Local\Microsoft\Outlook","$env:USERPROFILE\Documents\Outlook Files" -Include .pst,.ost -Recurse -ErrorAction SilentlyContinue
Se Outlook è in esecuzione, il file .ost è tipicamente bloccato dal processo. Un approccio realistico consiste nell'usare Volume Shadow Copy per ottenere una copia consistente. Il tool vshadow.exe (open source, incluso nel Windows SDK) o direttamente wmic shadowcopy call create Volume="C:" permettono di creare lo snapshot; da lì si copia il file dallo shadow path \?\GLOBALROOT\Device\HarddiskVolumeShadowCopyN\Users....
Il caso documentato del gruppo Chimera mostra un pattern operativo tipico via WMI remoto:
wmic /node:
Per emulazione in laboratorio, Impacket (open source) fornisce wmiexec.py e smbclient.py per replicare esfiltrazione via SMB. Il framework Empire (open source, mantenuto da BC-Security) include moduli di collection email nativi, mentre Pupy (open source) offre plugin per interagire con la sessione MAPI di Outlook direttamente in memoria, evitando il touch del file .ost.
Per parsing offline in ambiente controllato, gli operatori usano libpff e il suo tool pffexport (open source, di Joachim Metz) per convertire .pst/.ost in una struttura di cartelle navigabile con eml grezzi. In alternativa readpst dal pacchetto libpst (open source, disponibile su distribuzioni Linux) produce output mbox facilmente indicizzabile con grep o ripgrep (open source) per cercare stringhe sensibili come credenziali o chiavi API.
Per emulare il comportamento di QakBot e alimentare un test di thread hijacking, il payload dovrebbe estrarre solo gli ultimi N thread dalla cartella Inbox e Sent Items, comprimerli con makecab nativo o 7-Zip (open source) protetto da password, e stagerli in una directory poco monitorata come *C:\ProgramData* prima dell'esfiltrazione via HTTPS. In un contesto ESXi/Linux la tecnica non si applica direttamente, ma i file .pst residenti su share NFS montate sono comunque leggibili con readpst.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.