M365Pwned

Ferramentas de Red Team para exploração do Microsoft 365 via API do Microsoft Graph.

Duas ferramentas GUI WinForms para enumerar, pesquisar e exfiltrar dados de ambientes M365 usando tokens OAuth de nível de aplicação — sem necessidade de interação do usuário.

⚠️ Aviso Legal

Estas ferramentas destinam-se exclusivamente a engajamentos autorizados de red team, testes de penetração e pesquisa de segurança.
Usá-las contra sistemas que você não possui ou para os quais não tem permissão explícita por escrito para testar é ilegal e pode violar leis de fraude informática (CFAA, Computer Misuse Act, etc.).
Os autores não se responsabilizam por qualquer uso indevido ou dano causado.

Requisitos

• PowerShell 5.1 (Windows PowerShell — PS7 não é necessário)
• Um aplicativo do Azure AD registrado com Permissões de aplicativo consentidas pelo administrador (consulte as seções de cada ferramenta abaixo)

Autenticação

Três métodos de autenticação são suportados por ambas as ferramentas:

Segredo do Cliente

-TenantId <guid> -ClientId <guid> -ClientSecret <secret>

Certificado (impressão digital)

-TenantId <guid> -ClientId <guid> -CertificateThumbprint <thumb>

Token de Acesso Bruto (pass-the-token)

-AccessToken <jwt>

MailPwned-GUI.ps1

Visão Geral

GUI WinForms para enumerar, pesquisar, ler e exfiltrar e-mails de ambientes M365/Exchange Online.

Permissões

Nota: /v1.0/search/query com o entityType message não suporta permissões de aplicativo. A enumeração de usuários + pesquisa por caixa de correio é a única abordagem viável com tokens de aplicativo — é exatamente isso que o MailPwned implementa.

Uso

powershell.exe -STA -File .\MailPwned-GUI.ps1

-STA (Single-Threaded Apartment) é necessário para WinForms.

Recursos

• Conectar usando ID do locatário + ID do cliente + segredo, impressão digital do certificado ou token bruto
• Seletor de região para nuvens soberanas/GCC (EUR, FRA, NAM, GBR, APC, AUS, CAN, IND, JPN)
• Carregar caixa de correio — navegar pela árvore de pastas, ler e-mails com renderização HTML completa
• Pesquisa global — pesquisar em todas as caixas de correio do locatário sem carregar uma específica
• Pesquisa direcionada — pesquisar dentro de uma caixa de correio carregada
• Pré-visualização de e-mail HTML — renderização completa com suporte a imagens inline (sem requisições externas)
• Download de anexos — individual ou em massa
• Compor / Responder / Responder a todos / Encaminhar — enviar e-mails de personificação
• Marcar como lido/não lido, Excluir
• Exportar para CSV
• Painel de log de API — log de requisições/respostas em tempo real codificado por cores para depuração

Casos de Uso de Red Team

• Caça a credenciais — pesquisar em todas as caixas de correio por password, credentials, VPN, secret, etc.
• Phishing lateral — ler conversas de e-mail em andamento e enviar respostas convincentes personificando a conta comprometida
• Coleta de inteligência — enumerar quem envia e-mail para quem, encontrar projetos sensíveis, dados de RH, comunicações com investidores
• Exfiltração — baixar em massa anexos que correspondam a uma consulta de pesquisa
• Descoberta de persistência — procurar códigos MFA, e-mails de redefinição de senha, confirmações de token

SharePwned-GUI.ps1

Versão CLI

Uma versão CLI desenvolvida por Ethical-Kaizoku pode ser encontrada aqui

Visão Geral

GUI WinForms para enumerar, navegar, pesquisar, visualizar e baixar arquivos de sites do SharePoint e unidades do OneDrive em todo o locatário.

Permissões

Fallback: Quando Sites.Read.All não está disponível, o SharePwned recorre à enumeração de unidades por usuário via Files.Read.All.

Uso

powershell.exe -STA -File .\SharePwned-GUI.ps1

Recursos

• Conectar usando ID do locatário + ID do cliente + segredo, impressão digital do certificado ou token bruto
• Seletor de região para nuvens soberanas/GCC
• Enumerar todos os sites do SharePoint no locatário
• Navegar por árvores de unidades — explorar bibliotecas de documentos do site e pastas do OneDrive
• Pesquisa de texto completo — pesquisa por palavras-chave em todas as unidades (/v1.0/search/query com entidade driveItem)
• Pesquisa de fallback — pesquisa por unidade quando Sites.Read.All está ausente
• Pré-visualização de arquivos — extração de texto para documentos, painel de visualização integrado
• Baixar arquivos — download de arquivo individual com progresso
• Ícones de tipo de arquivo — exibição de ícones por extensão no navegador de arquivos
• Painel de log de API — log de requisições/respostas em tempo real codificado por cores para depuração

Casos de Uso de Red Team

• Caça a credenciais — pesquisar em todo o SharePoint/OneDrive por password, secret, private key, arquivos de configuração, .env, etc.
• Coleta de inteligência — enumerar sites de projetos, unidades de RH, bibliotecas de documentos financeiros
• Exfiltração — baixar arquivos de interesse sem deixar um grande rastro de auditoria
• Mapeamento de acesso — enumerar todos os sites que o aplicativo comprometido pode alcançar para entender o raio de impacto

Cabeçalho de Região

O cabeçalho Prefer: exchange.region=<region> roteia as requisições para o datacenter correto. Necessário ao direcionar locatários em regiões não padrão.

Notas de OPSEC

• Todas as requisições vão diretamente para https://graph.microsoft.com — sem proxy ou relay
• O token do aplicativo contém a declaração roles; os logs do Graph mostrarão acesso em nível de aplicativo sob a identidade do aplicativo registrado
• Carregar caixas de correio de um arquivo (MailPwned) evita chamadas a GET /users — menor pegada quando uma lista de UPNs já está disponível via OSINT ou acesso anterior
• E-mails HTML baixados incorporam imagens inline como URIs data: — sem requisições externas ao abrir
• Ambas as ferramentas suprimem erros de script e funcionam totalmente offline após a aquisição do token

Licença

Apenas para uso educacional e testes de segurança autorizados.