T1070.008: 清除邮箱数据

摘要

攻击者可能修改邮件和邮件应用程序数据，以移除其活动的证据。电子邮件应用程序允许用户和其他程序通过命令行工具或使用 API 导出和删除邮箱数据。邮件应用程序数据可以是电子邮件、电子邮件元数据，或由应用程序或操作系统生成的日志，例如导出请求。 攻击者可能操纵电子邮件和邮箱数据以移除日志、痕迹和元数据，例如 [Phishing](https://attack.mitre.org/techniques/T1566)/[Internal Spearphishing](https://attack.mitre.org/techniques/T1534)、[Email Collection](https://attack.mitre.org/techniques/T1114)、用于命令和控制的 [Mail Protocols](https://attack.mitre.org/techniques/T1071/003) 或基于电子邮件的泄露(如 [Exfiltration Over Alternative Protocol](https://attack.mitre.org/techniques/T1048))的证据。例如，为移除 Exchange 服务器上的证据，攻击者使用了 <code>ExchangePowerShell</code> [PowerShell](https://attack.mitre.org/techniques/T1059/001) 模块，包括 <code>Remove-MailboxExportRequest</code> 以移除邮箱导出的证据。(Citation: Volexity SolarWinds)(Citation: ExchangePowerShell Module)在 Linux 和 macOS 上，攻击者还可能通过称为 <code>mail</code> 的命令行实用程序删除电子邮件，或使用 [AppleScript](https://attack.mitre.org/techniques/T1059/002) 与 macOS 上的 API 交互。(Citation: Cybereason Cobalt Kitty 2017)(Citation: mailx man page) 攻击者还可能移除指示垃圾邮件或可疑活动的电子邮件和元数据/标头(例如，通过使用组织范围的传输规则)，以降低恶意电子邮件被安全产品检测到的可能性。(Citation: Microsoft OAuth Spam 2022)