Raccolta Email da Remoto: Remote Email Collection (T1114.002)
La tecnica T1114.002 — Remote Email Collection descrive l'accesso e l'estrazione di contenuti da caselle di posta ospitate su piattaforme aziendali come Microsoft Exchange on-premise, Exchange Online/Office 365 e Google Workspace. L'avversario, entrato in possesso di credenziali valide, token OAuth o cookie di sessione, interagisce direttamente con il server di posta attraverso protocolli legittimi (EWS, MAPI/HTTP, IMAP, Graph API, OWA) oppure attraverso cmdlet PowerShell come New-MailboxExportRequest.
La tecnica si colloca nella tattica TA0009 (Collection) e rappresenta uno snodo cruciale della kill chain: dopo l'Initial Access e la Credential Access, precede quasi sempre una fase di Exfiltration. Le email costituiscono un obiettivo strategico perché contengono corrispondenza executive, credenziali riutilizzate, allegati contrattuali, token di reset e informazioni utili per movimento laterale o Business Email Compromise.
I dati MITRE registrano 12 gruppi APT, 4 famiglie malware (SeaDuke, LightNeuron, MailSniper, Valak) e 2 campagne rilevanti — la SolarWinds Compromise condotta da APT29 e HomeLand Justice contro reti governative albanesi. La presenza di attori come HAFNIUM, APT28, Chimera, Kimsuky e Star Blizzard dimostra che la raccolta email remota è trasversale a spionaggio statale, criminalità finanziaria e operazioni disruptive. Le tre mitigazioni ATT&CK — MFA, cifratura del contenuto e canali out-of-band — indicano che la difesa richiede sia controlli identità che segmentazione dei flussi informativi sensibili.
In un ingaggio red team autorizzato, la simulazione di T1114.002 parte dall'assunto di possedere credenziali valide o un token OAuth di un utente compromesso. Lo strumento di riferimento documentato in ATT&CK è MailSniper (open source), un modulo PowerShell che automatizza autenticazione, enumerazione mailbox e ricerca per keyword su Exchange on-prem, Exchange Online e Office 365.
Una sequenza tipica in laboratorio inizia con la verifica del target OWA/EWS: Invoke-DomainHarvestOWA consente di identificare il dominio interno esposto dall'endpoint pubblico, mentre Invoke-UsernameHarvestOWA può enumerare account validi contro liste utenti. Ottenute credenziali (via password spraying con Invoke-PasswordSprayOWA o Invoke-PasswordSprayEWS), l'operatore passa alla raccolta vera e propria con Invoke-SelfSearch per la casella dell'utente compromesso, oppure Invoke-GlobalMailSearch qualora si disponga di un account con ruolo ApplicationImpersonation. Il parametro -Terms accetta una lista di keyword sensibili (password, confidential, wire, contract).
Su Exchange on-prem, con accesso amministrativo alla Management Shell, la catena documentata dai gruppi APT come Magic Hound e APT29 utilizza:
New-MailboxExportRequest -Mailbox target@domain.tld -FilePath \\host\share\dump.pst
seguito da Get-MailboxExportRequest per monitorare lo stato e Remove-MailboxExportRequest per la pulizia. Il file PST risultante viene poi esfiltrato via SMB o HTTPS.
In ambienti cloud, la strada moderna passa da Microsoft Graph API: uno script Python con la libreria msal (open source) autentica un'app registrata con permessi Mail.Read e itera su /me/messages o /users/{id}/messages con filtri OData. AADInternals (open source) di Nestori Syynimaa consente ricognizione tenant e accesso mailbox tramite token rubati. Per Google Workspace, l'accesso IMAP con credenziali o token OAuth (come fatto da Kimsuky con MailFetch) può essere simulato con librerie standard Python imaplib.
Su Chimera è documentata l'estrazione diretta dei file OST offline: \\hostname\c$\Users\username\AppData\Local\Microsoft\Outlook\.ost*, che richiede movimento laterale SMB e successiva conversione OST→PST con tool come libpff (open source). L'operatore red team deve pianificare l'ingaggio con il cliente per definire soglie di volume, rispetto della privacy sui contenuti e distruzione controllata degli artefatti raccolti.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.