M365Pwned

Herramientas de Red Team para la explotación de Microsoft 365 mediante la API de Microsoft Graph.

Dos herramientas GUI de WinForms para enumerar, buscar y extraer datos de entornos M365 utilizando tokens OAuth a nivel de aplicación — sin interacción del usuario.

⚠️ Aviso legal

Estas herramientas están destinadas exclusivamente a compromisos autorizados de Red Team, pruebas de penetración e investigación de seguridad.
Usarlas contra sistemas que no posees o para los que no tienes permiso escrito explícito es ilegal y puede violar leyes de fraude informático (CFAA, Computer Misuse Act, etc.).
Los autores no aceptan ninguna responsabilidad por mal uso o daños causados.

Requisitos

• PowerShell 5.1 (Windows PowerShell — no se requiere PS7)
• Una aplicación de Azure AD registrada con permisos de aplicación consentidos por el administrador (consulta las secciones por herramienta más abajo)

Autenticación

Ambas herramientas admiten tres métodos de autenticación:

Secreto de cliente

-TenantId <guid> -ClientId <guid> -ClientSecret <secret>

Certificado (huella digital)

-TenantId <guid> -ClientId <guid> -CertificateThumbprint <thumb>

Token de acceso sin procesar (pass-the-token)

-AccessToken <jwt>

MailPwned-GUI.ps1

Descripción general

GUI de WinForms para enumerar, buscar, leer y extraer correos electrónicos de entornos M365/Exchange Online.

Permisos

Nota: /v1.0/search/query con el entityType message no admite permisos de aplicación. La enumeración de usuarios + la búsqueda por buzón es el único enfoque viable con tokens de aplicación — esto es exactamente lo que implementa MailPwned.

Uso

powershell.exe -STA -File .\MailPwned-GUI.ps1

-STA (Single-Threaded Apartment) es obligatorio para WinForms.

Características

• Conectar usando ID de inquilino + ID de cliente + secreto, huella digital de certificado o token sin procesar
• Selector de región para nubes soberanas/GCC (EUR, FRA, NAM, GBR, APC, AUS, CAN, IND, JPN)
• Cargar buzón — explorar el árbol de carpetas, leer correos con renderizado HTML completo
• Búsqueda global — buscar en todos los buzones del inquilino sin cargar uno específico
• Búsqueda acotada — buscar dentro de un buzón cargado
• Vista previa de correo HTML — renderizado completo con soporte de imágenes en línea (sin solicitudes externas)
• Descarga de adjuntos — individual o masiva
• Redactar / Responder / Responder a todos / Reenviar — enviar correos de suplantación
• Marcar como leído/no leído, Eliminar
• Exportar a CSV
• Panel de registro de API — registro de solicitudes/respuestas en tiempo real codificado por colores para depuración

Casos de uso de Red Team

• Búsqueda de credenciales — buscar en todos los buzones password, credentials, VPN, secret, etc.
• Phishing lateral — leer hilos de correo en curso y enviar respuestas convincentes suplantando la cuenta comprometida
• Recopilación de inteligencia — enumerar quién envía correos a quién, encontrar proyectos sensibles, datos de RR. HH., comunicaciones con inversores
• Exfiltración — descarga masiva de adjuntos que coincidan con una consulta de búsqueda
• Detección de persistencia — buscar códigos MFA, correos de restablecimiento de contraseña, confirmaciones de token

SharePwned-GUI.ps1

Versión CLI

Una versión CLI desarrollada por Ethical-Kaizoku se puede encontrar aquí

Descripción general

GUI de WinForms para enumerar, explorar, buscar, previsualizar y descargar archivos de sitios de SharePoint y unidades de OneDrive de todo el inquilino.

Permisos

Respaldo: Cuando Sites.Read.All no está disponible, SharePwned recurre a la enumeración de unidades por usuario mediante Files.Read.All.

Uso

powershell.exe -STA -File .\SharePwned-GUI.ps1

Características

• Conectar usando ID de inquilino + ID de cliente + secreto, huella digital de certificado o token sin procesar
• Selector de región para nubes soberanas/GCC
• Enumerar todos los sitios de SharePoint del inquilino
• Explorar árboles de unidades — navegar por las bibliotecas de documentos del sitio y las carpetas de OneDrive
• Búsqueda de texto completo — búsqueda por palabras clave en todas las unidades (/v1.0/search/query con la entidad driveItem)
• Búsqueda de respaldo — búsqueda por unidad cuando Sites.Read.All no está presente
• Vista previa de archivos — extracción de texto para documentos, panel de vista previa integrado
• Descargar archivos — descarga de un solo archivo con barra de progreso
• Iconos de tipo de archivo — visualización de iconos según la extensión en el explorador de archivos
• Panel de registro de API — registro de solicitudes/respuestas en tiempo real codificado por colores para depuración

Casos de uso de Red Team

• Búsqueda de credenciales — buscar en todo SharePoint/OneDrive password, secret, private key, archivos de configuración, .env, etc.
• Recopilación de inteligencia — enumerar sitios de proyectos, unidades de RR. HH., bibliotecas de documentos financieros
• Exfiltración — descargar archivos de interés sin dejar un gran rastro de auditoría
• Mapeo de accesos — enumerar todos los sitios a los que puede llegar la aplicación comprometida para entender el radio de explosión

Cabecera de región

La cabecera Prefer: exchange.region=<region> enruta las solicitudes al centro de datos correcto. Es necesaria al apuntar a inquilinos en regiones no predeterminadas.

Notas de OPSEC

• Todas las solicitudes van directamente a https://graph.microsoft.com — sin proxy ni relay
• El token de aplicación contiene la declaración roles; los registros de Graph mostrarán el acceso a nivel de aplicación bajo la identidad de la aplicación registrada
• Cargar buzones desde un archivo (MailPwned) evita llamar a GET /users — menor huella cuando ya se dispone de una lista de UPN procedente de OSINT o de un acceso previo
• Los correos HTML descargados incrustan las imágenes en línea como URI data: — sin solicitudes salientes al abrirlos
• Ambas herramientas suprimen los errores de script y se ejecutan totalmente sin conexión tras la adquisición del token

Licencia

Solo para uso educativo y pruebas de seguridad autorizadas.