Un red teamer que opera bajo el alias OtterHacker ha publicado públicamente M365Pwned, un par de herramientas GUI en WinForms diseñadas para enumerar, buscar y exfiltrar datos de entornos Microsoft 365 utilizando tokens OAuth a nivel de aplicación sin requerir interacción del usuario.

Desarrollado completamente en PowerShell 5.1 y aprovechando la API de Microsoft Graph, el kit de herramientas representa una capacidad ofensiva significativa en fase post-compromiso para evaluadores de penetración y operadores de simulación de adversarios que atacan inquilinos empresariales de M365.

El kit de herramientas consta de dos componentes: MailPwned-GUI.ps1, dirigido a Exchange Online y Outlook, y SharePwned-GUI.ps1, enfocado en SharePoint y OneDrive.

Ambas herramientas operan bajo una aplicación registrada en Azure AD con permisos de aplicación consentidos por un administrador y soportan tres métodos de autenticación: Client Secret, Certificate Thumbprint y Raw Access Token (pass-the-token).

MailPwned proporciona una interfaz WinForms completa para interactuar con Exchange Online a gran escala. Una vez autenticado, los operadores pueden enumerar todos los buzones del inquilino usando User.Read.All, realizar búsquedas globales de palabras clave en todos los buzones y leer correos completos renderizados en HTML con soporte para imágenes incrustadas, sin realizar solicitudes externas al previsualizar el contenido.

Se soportan descargas masivas de adjuntos, composición de emails para ataques de suplantación y exportación a CSV.

La herramienta soluciona una limitación clave de la API de Graph: /v1.0/search/query con message como entityType no soporta permisos de aplicación.

MailPwned aborda esto realizando enumeración por buzón seguida de búsquedas por buzón con alcance, una técnica funcional que genera un menor rastro de auditoría cuando se carga previamente una lista de UPN desde OSINT.

Los permisos clave requeridos incluyen Mail.Read, User.Read.All y, opcionalmente, Mail.ReadWrite para operaciones de envío y eliminación. Los casos de uso para red team destacados por el autor incluyen la caza de credenciales (búsqueda de términos como password, VPN, secret), phishing lateral mediante secuestro de hilos, recopilación de inteligencia de RRHH e inversores, y exfiltración masiva de adjuntos.

M365Pwned – Kit de herramientas GUI para Red Team

SharePwned replica el enfoque de MailPwned para entornos de almacenamiento de archivos. Los operadores pueden enumerar todos los sitios de SharePoint en un inquilino, explorar bibliotecas de documentos y realizar búsquedas de texto completo en archivos mediante /v1.0/search/query con driveItem como entidad. Se activa un modo de respaldo para búsquedas por unidad cuando Sites.Read.All no está disponible, usando Files.Read.All en su lugar.

Las previsualizaciones de archivos soportan extracción de texto en línea, y la herramienta incluye iconos basados en extensiones y un panel de registro de API en tiempo real con codificación de colores para depuración operativa.

Ambas herramientas incluyen soporte para selector de región en nubes soberanas y GCC en Europa, América del Norte, Asia Pacífico y más, usando el encabezado Prefer: exchange.region=<region> para garantizar el enrutamiento correcto a centros de datos para inquilinos no predeterminados.

Desde una perspectiva de OPSEC, todas las solicitudes se dirigen directamente a https://graph.microsoft.com, y los registros de auditoría de Graph registrarán el acceso bajo la identidad de la aplicación registrada. Los equipos de seguridad deben auditar los permisos de aplicaciones en Azure AD, monitorear accesos anómalos a nivel de aplicación con Mail.Read o Sites.Read.All, y revisar los consentimientos otorgados a principales de servicio no interactivos.

La versión CLI de SharePwned, desarrollada por Ethical-Kaizoku, está disponible por separado en GitHub.