Тихое копирование почты без тормозов Outlook'а
Всё, что описано ниже, допускается для применения только:
- на своём стенде;
- в рамках авторизованного тестирования на проникновение / Red Teaming проектов / отработки методологии DFIR с документальным разрешением заказчика и владельца инфраструктуры.
Любое повторение на боевых хостах без авторизации — это про уголовный кодекс, а не про «хакерскую романтику».
Зачем вообще лезть в ost
классический юношеский подход к пентесту AD:
- затащить всех звезд virustotal на DC;
- сделать DCSync / сдампить LSASS / тормознуть Outlook у целевого пользователя;
- выгрести все хэши, до кучи и просто всё, что плохо лежит.
Проблема:
для зрелого SOC это фейерверк телеметрии.
Зрелый заказчик чаще просит другое:
«Вам не нужно гробить наш домен, вам надо тихо забрать почту конкретных сотрудников и показать, как мы это можем не заметить».
Реальные APT / кибервойска давно уже не играют в «сломай им всё», а прицельно дергают чувствительные данные: руководители, финансовый блок, юристы, безопасники.
Почта — идеальный источник:
- переговоры с контрагентами;
- внутренние конфликты и утечки;
- иногда — голые пароли и ключи в переписке, «на время пришли» 🙃
Как outlook хранит почту и где наша точка входа
Outlook Classic хранит локальный кеш ящика в файлах формата OST:
C:\Users\<user>\AppData\Local\Microsoft\Outlook\<mailbox>@<domain>.ost
- внутри — вся переписка, календари и т.д.;
- пока outlook запущен — `.ost` залочен, обычный copy не проходит;
Что деламем мы в данном скрипте:
Что деламем мы в данном скрипте:
- Volume Shadow Copy Service (VSS) → создаём теневую копию тома;
- монтируем её в каталог через mklink;
- копируем .ost уже из snapshot’а, где файл не залочен.
никаких левых бинарников, только powershell + один небольшой python-сервер для приёма файлов по HTTP PUT (по желанию).
Общая схема атаки
- У нас уже есть локальный админ на рабочей станции пользователям.
- Находим все .ost под C:\Users\*\AppData\Local\Microsoft\Outlook\.
- Создаём одну теневую копию для тома C:\.
- Монтируем её в каталог C:\ShadowMounts\shadow_mount.
- Из этого mount’а копируем каждый ost в свой артефакт-каталог: C:\LabArtifacts\OST\<HOST>\<user>\<mailbox>.ost.ost2
- Опционально — отправляем .ost2 по HTTP PUT на наш сборщик (python-сервер).
- Дальше разбираем ost уже оффлайн: XstReader / MFCMAPI / что угодно.
Если вы желаете развития данного исследования до удаленного вектора эксплуатации голосуйте рублем.
Creator has disabled comments for this post.
