Атаки на AD CS через Teams: от выдачи себя за техподдержку до ESC1 и ESC8

Атаки на AD CS через Teams начались с выдачи себя за техподдержку

Microsoft Threat Intelligence зафиксировала две атаки, в ходе которых злоумышленники использовали Microsoft Teams для выдачи себя за сотрудников IT-отдела. Они убеждали пользователей предоставить удаленный доступ к своим компьютерам, чаще всего через Quick Assist. После получения доступа злоумышленники разворачивали портативные среды выполнения Python, Bun или Java. Затем они проводили разведку хостов и сети, а также искали уязвимости в Active Directory Certificate Services (AD CS) для получения сертификатов аутентификации. Атаки не эксплуатировали уязвимости в Microsoft Teams, а полагались на социальную инженерию и небезопасные конфигурации AD CS.

Злоумышленники использовали ESC1 и ESC8 для получения сертификатов аутентификации

В первом случае злоумышленник использовал уязвимый шаблон сертификата Enterprise CA Security Configuration 1 (ESC1). Это позволило ему получить сертификаты аутентификации для привилегированных учетных записей и выполнить DCSync. Во втором случае злоумышленник применил технику PetitPotam. Она заставляет сервер аутентифицироваться на контролируемой атакующим системе. Атакующий перенаправил аутентификацию контроллера домена через протокол NTLM на конечную точку веб-регистрации AD CS (ESC8). Это позволило ему получить сертификат для учетной записи контроллера домена и использовать его для аутентификации Kerberos на основе сертификатов (PKINIT).

Атаки затрагивают организации с небезопасными конфигурациями AD CS

Эти атаки представляют высокий риск для корпоративных сред. Получение сертификата аутентификации для привилегированной учетной записи или машины позволяет злоумышленнику использовать его независимо от скомпрометированного пароля. Сброс пароля пользователя или переустановка рабочей станции не отзывает выданный сертификат и не аннулирует выданные билеты Kerberos. Атаки начинались с фишинговых сообщений в Teams, имитирующих службу поддержки. Злоумышленники убеждали пользователей предоставить удаленный доступ, используя Quick Assist. После получения доступа они разворачивали портативные среды выполнения Python, Bun или Java. Эти среды позволяли выполнять управляющие скрипты из пользовательских каталогов, сохраняя при этом легитимные метаданные файлов. Затем проводилась разведка хостов и сети, а также оценка AD CS. В первом случае злоумышленник использовал уязвимый шаблон ESC1 для получения сертификатов для привилегированных учетных записей. Во втором случае использовался PetitPotam для получения сертификата контроллера домена через ESC8.

Обновиться до 2025.11.7 или поставить плагин безопасности

В первом случае Microsoft Defender ограничил охват скомпрометированных учетных записей и заблокировал последующую активность. Однако одна привилегированная учетная запись, исключенная из автоматического сдерживания, осталась доступной и использовалась для эксфильтрации данных. Злоумышленник использовал ее для сетевых и интерактивных удаленных входов, получил доступ к файловому серверу и скопировал данные на внешний SFTP-сервер с помощью утилиты Rclone. Во втором случае Defender сгенерировал оповещения, связанные с ESC8. После этого клиент изолировал соответствующую рабочую станцию, и дальнейшего развития атаки не наблюдалось. Для защиты от подобных атак рекомендуется проверять конфигурации шаблонов сертификатов AD CS, особенно права на выдачу и настройки безопасности. Необходимо убедиться, что шаблоны не позволяют запрашивать сертификаты для других учетных записей или использовать недопустимые идентификационные данные. Также следует применять меры защиты от ретрансляции NTLM на конечных точках веб-регистрации AD CS, таких как ESC8. Для предотвращения компрометации через социальную инженерию важно обучать пользователей распознавать подозрительные сообщения и звонки, особенно те, что запрашивают удаленный доступ или конфиденциальную информацию.