Saccheggio di SharePoint: Data from Information Repositories – SharePoint (T1213.002)

Durante un red team engagement, l'accesso a SharePoint avviene tipicamente dopo aver compromesso credenziali valide via phishing, password spraying o furto di token OAuth. Il primo passo è l'enumerazione autenticata dei siti accessibili all'utente compromesso.

Per ambienti Microsoft 365 / SharePoint Online il tool di riferimento è PnP PowerShell (open source), il modulo ufficiale Microsoft per l'interazione programmatica con Office 365. Dopo l'autenticazione con Connect-PnPOnline, comandi come Get-PnPTenantSite elencano tutti i siti nel tenant, mentre Get-PnPListItem enumera il contenuto di una specifica lista o libreria documentale. Per il download massivo si usa Get-PnPFile con il parametro -AsFile.

Un altro strumento estremamente diffuso è SharpHound (open source) di BloodHound, che nella sua componente di collection Azure raccoglie informazioni sui permessi SharePoint attraverso Microsoft Graph. In alternativa ROADtools (open source) di Dirk-jan Mollema permette di enumerare l'intero tenant Azure AD e mappare le identità con accesso ai vari siti.

Per SharePoint on-premise, il tool storico documentato in MITRE è spwebmember (S0227), utilizzato dal gruppo Ke3chang per enumerare e dumpare informazioni da installazioni Microsoft SharePoint. Si tratta di un'utility .NET che sfrutta il modello a oggetti server-side SPWeb per iterare ricorsivamente su siti, sottositi e liste, esportando il contenuto in formato leggibile.

Una catena d'attacco realistica in laboratorio prevede quattro fasi. Prima si ottengono le credenziali via evilginx2 (open source) per bypassare MFA tramite proxy inverso e catturare il token di sessione. Poi si stabilisce la connessione autenticata al tenant con PnP PowerShell riutilizzando il cookie di sessione. Successivamente si enumera la struttura dei siti concentrandosi su nomi rivelatori come "IT", "HR", "Finance", "Security", "Onboarding". Infine si effettua il download mirato di documenti tramite filtri sulle estensioni (*.docx, *.xlsx, *.vsdx, *.pdf, *.config, .xml) e sulle keyword nei metadati.

Per la ricerca full-text all'interno dei documenti scaricati, in fase di analisi locale si utilizza ripgrep (open source) con pattern per credenziali (password=, api_key, BEGIN RSA, stringhe di connessione). Strumenti come truffleHog (open source) o gitleaks (open source) — pur nati per repository Git — funzionano su qualsiasi filesystem e sono efficaci per identificare segreti annidati nei documenti esfiltrati.

La detection di T1213.002 si basa quasi interamente sui log applicativi di Microsoft 365 e sui log di autenticazione Azure AD, poiché la tecnica non genera artefatti sull'endpoint attaccante. Il rilevamento DET0500 codificato in MITRE prende di mira accessi anomali in bulk da parte di account privilegiati o raramente utilizzati.

Le tre sorgenti log fondamentali sono m365:unified (Unified Audit Log di Microsoft 365), azure:signinlogs (log di sign-in Azure AD) e m365:sharepoint (log specifici delle operazioni SharePoint). Dall'Unified Audit Log gli eventi chiave sono FileAccessed, FileDownloaded, FileSyncDownloadedFull, SearchQueryPerformed e PageViewed. Un pattern sospetto tipico è un singolo utente che genera decine o centinaia di eventi FileDownloaded in una finestra di pochi minuti, specialmente se distribuiti su siti eterogenei.

La regola di detection andrebbe modellata su quattro parametri di tuning. Il UserContext definisce se l'alert riguarda account amministrativi, service account o utenti standard con comportamento fuori baseline. La TimeWindow aggrega gli eventi in finestre tipicamente di 10 minuti. Il DownloadThreshold fissa il numero minimo di documenti scaricati per triggerare l'allarme (valori tipici tra 50 e 200 a seconda della baseline organizzativa). Lo SiteScope limita il monitoraggio ai siti che contengono dati sensibili — HR, Finanza, Ingegneria, IT Operations.

Segnali di correlazione ad alto valore includono: sign-in Azure AD da IP mai visti per l'utente immediatamente precedenti al burst di download, presenza di user agent non-browser (indicativi di script PowerShell o chiamate Graph API dirette), utilizzo dell'endpoint Graph sites/{site-id}/drive/items con volumi anomali, e query di ricerca SharePoint contenenti termini come "password", "vpn", "credential", "secret".

Sul fronte preventivo, allineandosi alle mitigazioni M1017, M1018 e M1047, il SOC dovrebbe collaborare con l'IAM per applicare Conditional Access Policies che richiedano MFA e device compliance per l'accesso a SharePoint, e con il team di governance per attivare le Sensitivity Labels di Microsoft Purview su repository critici. Purview Data Loss Prevention (a pagamento, incluso in E5) può bloccare download massivi di documenti etichettati come confidenziali.

I falsi positivi principali derivano da migrazioni pianificate, backup applicativi tramite service account (es. Veeam Backup for Microsoft 365, a pagamento), sincronizzazione OneDrive massiva dopo un reset di client, e attività legittima di data scientist con accesso ampio. La whitelist basata su AppID Azure per applicazioni approvate riduce significativamente il rumore.

L'analisi forense di un incidente T1213.002 si concentra su tre livelli: log cloud lato Microsoft 365, artefatti di autenticazione Azure AD e — quando disponibili — evidenze endpoint sulla macchina dell'attaccante o della vittima le cui credenziali sono state riutilizzate.

Il Unified Audit Log di Microsoft 365 è la fonte primaria e ha retention di default di 90 giorni per licenze E3 e 365 giorni per E5. L'estrazione avviene via Search-UnifiedAuditLog in Exchange Online PowerShell oppure attraverso l'Office 365 Management Activity API per volumi elevati. Il tool Microsoft-Extractor-Suite (open source) di Invictus IR automatizza l'estrazione e normalizzazione degli audit log ed è diventato uno standard de facto nella DFIR cloud. Per l'analisi off-line degli export JSON, Hayabusa o più semplicemente jq (open source) permettono di costruire timeline filtrate per utente, operazione e site collection.

Gli eventi da ricostruire nella timeline includono la sequenza UserLoggedIn → FileAccessed → FileDownloaded → FileSyncDownloadedFull per lo stesso UserKey. Attenzione particolare al campo ClientIP, UserAgent e ApplicationId: quest'ultimo rivela se l'accesso è avvenuto tramite browser, client OneDrive, PnP PowerShell, o applicazione OAuth di terze parti. Un ApplicationId corrispondente a Microsoft Graph PowerShell (14d82eec-204b-4c2f-b7e8-296a70dab67e) accompagnato da download massivi è un forte indicatore di scripting adversariale.

Dai log di sign-in Azure AD si estraggono geolocalizzazione, tipo di autenticazione (interattiva vs non interattiva), presenza di conditional access risultati, e correlation ID che permettono di seguire la sessione attraverso servizi Microsoft. La presenza di eventi Consent to application prima dell'accesso a SharePoint indica un possibile illicit consent grant attack — modalità osservata anche in campagne collegate ad APT28.

Sull'endpoint dell'utente compromesso, se accessibile, gli artefatti utili sono: la cache di Internet Explorer/Edge in %LOCALAPPDATA%\Microsoft\Windows\INetCache che contiene tracce di navigazione SharePoint, i log di OneDrive in %LOCALAPPDATA%\Microsoft\OneDrive\logs, e i PowerShell ScriptBlock logs (EventCode 4104) che registrano l'esecuzione di cmdlet PnP se il logging è attivo. Le PSReadLine ConsoleHost_history.txt in %APPDATA%\Microsoft\Windows\PowerShell\PSReadLine spesso conservano i comandi eseguiti dall'attaccante.

Nella campagna C0027 documentata da MITRE, Scattered Spider ha effettuato ricerche mirate su SharePoint per istruzioni help desk e guide MFA enrollment; ricostruire questi pattern richiede attenzione agli eventi SearchQueryPerformed con termini specifici, spesso ignorati nell'analisi standard focalizzata sui soli download.

L'ecosistema di attori che sfrutta T1213.002 è eterogeneo e copre sia lo spionaggio statale sia il cybercrime finanziariamente motivato, riflettendo il valore universale delle informazioni depositate nei repository collaborativi.

Ke3chang (G0004) rappresenta il caso storico più documentato. Attribuito a operazioni di spionaggio, il gruppo ha sviluppato spwebmember (S0227), un tool custom in .NET specificamente pensato per enumerare e dumpare contenuti da SharePoint on-premise. La scelta di investire in tooling dedicato indica un interesse strategico e ricorrente verso questa piattaforma, tipico di operazioni di lungo respiro contro obiettivi governativi e diplomatici.

APT28 (G0007) — noto anche come Fancy Bear — ha raccolto informazioni da servizi Microsoft SharePoint all'interno delle reti target. Il gruppo, ampiamente documentato per operazioni di spionaggio, tipicamente combina l'accesso a SharePoint con tecniche di credential access precedenti e con esfiltrazione via canali cifrati verso infrastrutture C2 controllate.

Chimera (G0114) ha raccolto documenti dai SharePoint delle vittime nell'ambito di operazioni orientate al furto di proprietà intellettuale, particolarmente nel settore semiconduttori. Il pattern è coerente con la raccolta massiva di documentazione tecnica per finalità di trasferimento tecnologico.

HAFNIUM (G0125) ha abusato di credenziali compromesse per esfiltrare dati da SharePoint. Il gruppo è tristemente noto per lo sfruttamento delle vulnerabilità ProxyLogon in Exchange Server nel 2021; la contiguità architetturale con SharePoint on-premise nei medesimi ambienti Windows lo rende un candidato naturale per pivoting verso i repository documentali dopo la compromissione iniziale.

LAPSUS$ (G1004) ha cercato attivamente piattaforme di collaborazione come SharePoint nelle reti compromesse per scoprire ulteriori credenziali ad alto privilegio. Il modus operandi del gruppo — orientato a social engineering aggressivo verso help desk e SIM swapping — trova in SharePoint un moltiplicatore, poiché le guide interne di provisioning spesso descrivono le procedure di reset che gli attaccanti replicano telefonicamente.

Akira (G1024), gruppo ransomware emerso più recentemente, ha acceduto e scaricato informazioni memorizzate in istanze SharePoint come parte della fase di data gathering ed esfiltrazione. Questo pattern è coerente con la strategia di doppia estorsione ormai standard nell'ecosistema ransomware: SharePoint fornisce materiale di leverage per la fase di ricatto.

La campagna C0027 (giugno-dicembre 2022), attribuita a Scattered Spider contro telco e BPO, dimostra un pattern operativo particolarmente sofisticato: SharePoint viene consultato non solo per rubare dati ma come fonte di intelligence operativa per pianificare i successivi passi dell'attacco, incluse istruzioni di help desk sfruttate poi per SIM swapping. Il trend converge: SharePoint è passato da target opportunistico a obiettivo primario di ricognizione interna in campagne strutturate.

MITRE ATT&CK T1213.002 (Data from Information Repositories: SharePoint), tattica TA0009. Gruppi G0004, G0007, G0114, G0125, G1004, G1024. Software S0227 (spwebmember). Campagna C0027 (Scattered Spider). Mitigazioni M1017, M1018, M1047. Detection DET0500 con analytic AN1380. Parti relative a tool operativi (PnP PowerShell, SharpHound, ROADtools, evilginx2, Microsoft-Extractor-Suite, Hayabusa, ripgrep, truffleHog, gitleaks) e artefatti forensi endpoint derivano da conoscenza professionale di dominio cybersecurity.