T1098.002: 额外的电子邮件委派权限

摘要

攻击者可能授予额外的权限级别，以维持对攻击者控制的电子邮件账户的持久访问。 例如，本地 Exchange 和基于云的服务 Office 365 中提供的 <code>Add-MailboxPermission</code> [PowerShell](https://attack.mitre.org/techniques/T1059/001) cmdlet 会向邮箱添加权限。(Citation: Microsoft - Add-MailboxPermission)(Citation: FireEye APT35 2018)(Citation: Crowdstrike Hiding in Plain Sight 2018)在 Google Workspace 中，可以通过 Google 管理控制台启用委派，用户可以通过其 Gmail 设置委派账户。(Citation: Gmail Delegation)(Citation: Google Ensuring Your Information is Safe) 攻击者还可能通过单个文件夹权限或角色来分配邮箱文件夹权限。在 Office 365 环境中，攻击者可能将 Default 或 Anonymous 用户权限或角色分配给信息存储顶层(Top of Information Store，即根)、收件箱或其他邮箱文件夹。通过向文件夹分配其中一个或两个用户权限，攻击者可以利用租户中的任何其他账户来维持对目标用户邮件文件夹的持久访问。(Citation: Mandiant Defend UNC2452 White Paper) 这可能在持续性威胁事件以及 BEC(商业电子邮件入侵)事件中使用，在这些事件中，攻击者可以向其希望攻陷的账户添加 [Additional Cloud Roles](https://attack.mitre.org/techniques/T1098/003)。这可能进一步促成使用额外技术来获得对系统的访问权限。例如，已沦陷的业务账户常被用于向目标业务网络中的其他账户发送消息，同时创建收件箱规则(例如 [Internal Spearphishing](https://attack.mitre.org/techniques/T1534))，从而使这些消息规避垃圾邮件/网络钓鱼检测机制。(Citation: Bienstock, D. - Defending O365 - 2019)