# DET0135 — Detection of Mail Protocol-Based C2 Activity (SMTP, IMAP, POP3)
## Descrição
Esta estratégia detecta canais de Comando e Controle (C2) que utilizam protocolos de e-mail (SMTP porta 25/587, IMAP porta 143/993, POP3 porta 110/995) para comunicação entre o implante e o operador. A técnica T1071.003 é utilizada para misturar tráfego malicioso com fluxo legítimo de e-mail corporativo, evitando detecção por soluções focadas em HTTP/HTTPS.
Malwares como Agent Tesla, Formbook e várias famílias de RATs utilizam contas de e-mail comprometidas ou criadas específicamente para C2 via SMTP/IMAP. O padrão comportamental inclui processo não relacionado a cliente de e-mail estabelecendo conexões diretas a servidores SMTP/IMAP externos, especialmente em horários incomuns ou com volume de mensagens anômalo.
A telemetria requer logs de firewall com visibilidade de protocolo (SMTP/IMAP/POP3), NetFlow para identificar processos estabelecendo conexões em portas de e-mail, e análise de conteúdo de e-mail (DLP) para padrões de exfiltração. A ausência de agente de e-mail corporativo (Outlook, Thunderbird) na cadeia de processo é um indicador de alta fidelidade de uso de protocolo por malware.
## Indicadores de Detecção
- Processo não-cliente-de-e-mail (não `outlook.exe`, `thunderbird.exe`) conectando em porta 25/587/143/993
- Conexão SMTP/IMAP de processo em `%TEMP%`, `%APPDATA%` ou com nome de processo suspeito
- Alto volume de mensagens SMTP enviadas por processo de usuário em curto período
- Autenticação IMAP/POP3 para domínio de e-mail gratuito (gmail, outlook) por processo não reconhecido
- Corpo de e-mail com padrão Base64 longo ou conteúdo binário codificado em MIME
## Técnicas Relacionadas
- [[t1071-application-layer-protocol|T1071 — Application Layer Protocol]]
- [[t1041-exfiltration-over-c2-channel|T1041 — Exfiltration Over C2 Channel]]
- [[t1048-exfiltration-over-alternative-protocol|T1048 — Exfiltration Over Alternative Protocol]]
- [[t1132-data-encoding|T1132 — Data Encoding]]
- [[t1566-phishing|T1566 — Phishing]]
## Analytics Relacionadas
- [[an0379-analytic-0379|AN0379 — Analytic 0379]]
- [[an0380-analytic-0380|AN0380 — Analytic 0380]]
- [[an0381-analytic-0381|AN0381 — Analytic 0381]]
- [[an0382-analytic-0382|AN0382 — Analytic 0382]]
---
*Fonte: [MITRE ATT&CK — DET0135](https://attack.mitre.org/detectionstrategies/DET0135)*