Enumerazione Account Email: Email Account Discovery (T1087.003)

In un ingaggio red team, l'enumerazione della GAL è spesso il primo passo dopo aver ottenuto credenziali valide di un utente qualsiasi del dominio. Non serve essere amministratori: qualunque account mailbox autenticato può interrogare la Global Address List.

Lo strumento di riferimento è MailSniper (open source), un modulo PowerShell che automatizza estrazione GAL, password spraying contro OWA/EWS e ricerca di contenuti sensibili nelle mailbox. Il comando tipico per estrarre la GAL da Exchange on-premises o Office 365 è:

Invoke-GlobalAddressListDownload -ExchHostname mail.target.tld -UserName dominio\utente -Password Password123 -OutFile gal.txt

Per bersagli Office 365, MailSniper supporta autenticazione diretta contro l'endpoint EWS senza necessità di essere sulla rete interna. Un'alternativa complementare è Ruler (open source), scritto in Go, che oltre a dumpare la GAL via MAPI/HTTP permette di abusare delle regole Outlook per esecuzione codice; il subcommand ruler --email utente@target.tld --username utente --password Password123 abk dump --output gal.txt estrae l'Address Book Provider.

Se si dispone di una shell PowerShell su un endpoint con Exchange Management Shell installato, il metodo nativo è:

Get-GlobalAddressList | Get-Recipient -ResultSize Unlimited | Select Name, PrimarySmtpAddress, Title, Department | Export-Csv gal.csv

Per Exchange Online, ci si connette con Connect-ExchangeOnline del modulo ExchangeOnlineManagement (open source, Microsoft) e si esegue lo stesso cmdlet. In scenari cloud-first Azure AD/Entra ID, il modulo AzureAD o Microsoft.Graph (entrambi open source) consente enumerazioni analoghe: Get-AzureADUser -All $true | Select DisplayName, UserPrincipalName, JobTitle replica il risultato di una GAL con permessi utente base, come dimostrato durante la campagna C0027 in cui Scattered Spider ha usato Azure AD per identificare indirizzi email dopo l'accesso iniziale.

Nel mondo Google Workspace, l'API directory.users.list del Google Admin SDK (freemium, richiede scope appropriati) restituisce l'elenco completo degli utenti; anche un account con privilegi minimi può interrogare il proprio dominio via gcloud o script Python con la libreria google-api-python-client (open source).

Per evitare rilevamento, il red teamer dovrebbe rallentare le query, evitare pattern di enumerazione massiva in finestre brevi, e preferire l'esecuzione da endpoint con profilo utente compatibile (ad esempio, non da un server di produzione).

La detection di T1087.003 si fonda su due dominii di telemetria distinti: PowerShell/Sysmon sugli endpoint Windows e log di audit delle piattaforme cloud collaborative.

Sul versante Windows, il segnale primario arriva dal PowerShell Script Block Logging (EventCode 4104 nel canale Microsoft-Windows-PowerShell/Operational) e dal Module Logging (EventID 4103). La regola di detection AN0641 suggerisce di intercettare invocazioni di Get-GlobalAddressList, Get-Recipient, Get-AddressList e cmdlet correlati provenienti da sistemi che non sono Exchange server né workstation di amministratori IT censiti. Un uso legittimo è normale sulle console degli admin di messaggistica: la tuning per HostRole è fondamentale per sopprimere il rumore. Il pattern sospetto tipico è l'esecuzione bulk in intervalli brevi, tipica della fase ricognitiva, che si intercetta con aggregazioni temporali (es. più di N cmdlet Exchange in 5 minuti dallo stesso host).

Sysmon EventID 1 (process creation) fornisce contesto sul processo padre: uno powershell.exe lanciato da winword.exe, outlook.exe o processi non interattivi è un forte indicatore. EventID 3 (network connection) verso porte 443 di endpoint Exchange da processi anomali completa il quadro. Va inoltre monitorata la presenza di tool noti come MailSniper e Ruler tramite hash, nomi di modulo importati (Import-Module MailSniper) o stringhe caratteristiche nel command line.

Sul fronte cloud (regola AN0642), i log rilevanti sono m365:unified (Unified Audit Log di Microsoft 365), azure:signinlogs e gcp:audit per Google Workspace. Gli eventi chiave includono operazioni come Search-Mailbox, Get-GlobalAddressList registrate nei log admin di Exchange Online, e chiamate all'API Graph verso /users o /directoryObjects con parametri di enumerazione. Su Google Workspace, chiamate massive all'endpoint users.list del Directory API vanno correlate con il contesto utente: un service account che improvvisamente enumera l'intera directory, o un OAuth token concesso a un'app non censita, sono segnali forti.

Le tuning strategies critiche sono tre. APIQueryVolume: definire soglie basate sul baseline organizzativo (es. più di 500 chiamate users.list in 10 minuti). UserContext: flaggare user-agent non standard, IP fuori dai range aziendali, sessioni senza MFA recente. AppSource: distinguere tra sync tool sanzionati (GWSMO ufficiale, client Outlook noti) e script o token OAuth non autorizzati.

I falsi positivi principali derivano da audit di compliance, migrazioni mailbox, tool di sincronizzazione CRM e onboarding di nuovi dipendenti. Una whitelist mantenuta di account di servizio e processi autorizzati è indispensabile.

L'analisi forense di un'enumerazione GAL parte dalla ricostruzione della sessione autenticata che ha eseguito le query. Su endpoint Windows, gli artefatti chiave risiedono nel canale Microsoft-Windows-PowerShell/Operational: gli eventi 4104 contengono l'intero script block, permettendo di verificare a posteriori se sia stato eseguito Get-GlobalAddressList, Get-Recipient o importato un modulo come MailSniper. L'evento 4103 traccia l'invocazione dei singoli comandi con parametri e utente. Il PowerShell ConsoleHost history in %AppData%\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt può conservare tracce anche dopo cancellazione dei log Event.

Sul lato processi, Sysmon EventID 1 fornisce command line completa, hash e parent process. Prefetch (C:\Windows\Prefetch\POWERSHELL.EXE-.pf*) e ShimCache/AmCache (C:\Windows\AppCompat\Programs\Amcache.hve) confermano l'esecuzione anche in assenza di logging PowerShell. Se sono stati usati tool esterni come MailSniper o Ruler, cercare i binari o gli script nelle cartelle utente (Downloads, AppData\Local\Temp) e nel MFT per timestamp di creazione.

I file di output dell'enumerazione (CSV, TXT con liste email) sono spesso l'evidenza più preziosa: ricerche mirate su estensioni comuni e su pattern di indirizzi email nel journal NTFS o in $LogFile possono recuperare esfiltrazioni parziali anche dopo cancellazione. Per malware documentati che raccolgono email dagli endpoint — TrickBot, Emotet, Grandoreiro (che parsa direttamente i file .pst di Outlook), Lizar (che estrae da Outlook e Thunderbird), Backdoor.Oldrea — vanno analizzati i file di configurazione locali di Outlook (.pst, .ost in %LocalAppData%\Microsoft\Outlook) e Thunderbird (%AppData%\Thunderbird\Profiles) per verificarne accesso anomalo (timestamp Last Access, handle aperti in dump di memoria).

Lato server Exchange, i Message Tracking Logs (C:\Program Files\Microsoft\Exchange Server\V15\TransportRoles\Logs\MessageTracking), i log IIS di ECP/EWS/OWA (C:\inetpub\logs\LogFiles) e gli RPS log documentano le sessioni PowerShell remote e le chiamate EWS. Un incremento di chiamate FindItem, ResolveNames o GetUserAvailability da un singolo account su un intervallo breve è coerente con enumerazione via Ruler o MailSniper.

In ambienti cloud, l'Unified Audit Log di Microsoft 365 conserva 90-180 giorni di eventi con operazioni come MailItemsAccessed e Search-Mailbox. Per Google Workspace, l'Admin Audit Log e il Login Audit Log vanno estratti via Reports API.

Due casi documentati offrono benchmark utili: durante HomeLand Justice (2021-2022) gli attori iraniani usarono account Exchange compromessi per cercare account amministratore nelle mailbox, e in C0027 (2022) Scattered Spider ha interrogato Azure AD per raccogliere indirizzi email — entrambi i pattern lasciano tracce nell'Unified Audit Log.

L'enumerazione della GAL è una capability trasversale che accomuna cybercrime finanziario, spionaggio statale e attori ibridi. I dati MITRE ATT&CK associano a T1087.003 quattro gruppi con profili radicalmente diversi, riflettendo la versatilità della tecnica.

Sandworm Team (G0034), unità del GRU russo (military unit 74455), ha impiegato malware per estrarre credenziali email e configurazioni dall'applicazione contabile ucraina M.E.Doc, nell'ambito di operazioni distruttive contro l'Ucraina. L'obiettivo qui non era spear-phishing ma raccolta di credenziali per movimento laterale in un contesto pre-wiper.

Magic Hound (G0059), cluster iraniano associato all'IRGC (noto anche come APT35, Charming Kitten), ha utilizzato PowerShell per scoprire account email in campagne di spionaggio contro dissidenti, giornalisti e obiettivi governativi in Medio Oriente e Occidente. Coerentemente con il modus operandi iraniano, la GAL alimenta successive campagne di social engineering altamente targettizzato.

TA505 (G0092), gruppo cybercrime russofono attivo dal 2014 e associato a operazioni ransomware (Clop) e banking trojan, ha impiegato un tool dedicato chiamato EmailStealer per raccogliere indirizzi ed esfiltrarli verso server remoti, sfruttando le liste per successive campagne malspam su larga scala.

RedCurl (G1039) è un attore di spionaggio industriale attivo dal 2018, specializzato in furto di documenti aziendali riservati a fini di corporate espionage; la raccolta di account email supporta la fase di ricognizione interna prolungata tipica di questo gruppo, che mantiene persistenze di mesi.

Le campagne documentate aggiungono ulteriori attori. C0027 (giugno-dicembre 2022) vede Scattered Spider (UNC3944, Muddled Libra), gruppo giovane e finanziariamente motivato specializzato in social engineering estremo (vishing, SIM swap), interrogare Azure AD dopo aver ottenuto accesso via help desk impersonation contro telco e BPO. HomeLand Justice (maggio 2021-settembre 2022), attribuita ad attori statali iraniani contro il governo albanese, ha visto l'uso di account Exchange compromessi per cercare specificatamente caselle di amministratori — un pattern di targeting selettivo che precede l'operazione distruttiva con wiper.

Sul fronte tooling, si osserva una netta divisione: gli APT statali tendono a usare capability custom (moduli malware dedicati come in Sandworm, script PowerShell in Magic Hound), mentre attori cybercrime e red team convergono su tool open source come MailSniper e Ruler. Il malware commodity (TrickBot, Emotet, Grandoreiro, Lizar) scrapea email lato endpoint da Outlook e Thunderbird per rivendere le liste sul mercato underground, alimentando l'ecosistema del malspam. BoomBox, associato a operazioni russe (NOBELIUM), usa query LDAP dirette contro il domain controller, evidenziando come la stessa informazione possa essere ottenuta bypassando completamente Exchange.

MITRE ATT&CK T1087.003 (Email Account Discovery), tattica TA0007 Discovery. Gruppi G0034, G0059, G0092, G1039. Software S0093, S0266, S0358, S0367, S0413, S0531, S0635, S0681. Campagne C0027 (Scattered Spider) e C0038 (HomeLand Justice). Regole di detection DET0229, AN0641, AN0642. MITRE D3FEND per artefatti e controlli difensivi. Integrazione con conoscenza professionale su tool open source (MailSniper, Ruler, ExchangeOnlineManagement, Microsoft.Graph, Google Admin SDK) e artefatti forensi Windows/Exchange standard.