Microsoft opisał dwa włamania przez Teams i Quick Assist zakończone nadużyciem AD CS

Microsoft Threat Intelligence opisał dwa włamania, w których sprawcy podszywali się w Teams pod dział IT i namawiali pracowników do udzielenia zdalnego dostępu, głównie przez Quick Assist. Teams nie miał luki: atak opierał się na socjotechnice i niebezpiecznej lub zbyt liberalnej konfiguracji AD CS.

W pierwszym przypadku sprawcy użyli szablonu certyfikatu podatnego na ESC1, zdobyli certyfikaty kont uprzywilejowanych i wykonali DCSync. Defender zablokował znaczną część dalszych działań, ale konto uprzywilejowane wyłączone z automatycznej blokady posłużyło później do wyprowadzenia danych. W drugim przypadku PetitPotam i przekazanie uwierzytelnienia NTLM kontrolera domeny do AD CS Web Enrollment (ESC8) dały sprawcom certyfikat konta kontrolera. Po alertach Defendera klient odizolował stację roboczą i nie zaobserwowano dalszych postępów ataku.

Kogo dotyczy

Dotyczy organizacji korzystających z Active Directory Certificate Services, w których szablony certyfikatów lub Web Enrollment są skonfigurowane niebezpiecznie albo zbyt liberalnie. Punktem wejścia byli użytkownicy Microsoft Teams, którzy zgodzili się na zdalną sesję.