Angreifer gaben sich in Microsoft Teams als unternehmenseigene IT- oder Helpdesk-Mitarbeiter aus. Dies geschah bei zwei von Microsoft untersuchten Eindringversuchen. Nachdem sie Mitarbeiter dazu gebracht hatten, Windows Quick Assist zu öffnen und Verbindungscodes weiterzugeben, erlangten die Angreifer direkte Kontrolle über deren Arbeitsstationen und nutzten unsichere Konfigurationen der Active Directory Certificate Services (AD CS), um Authentifizierungszertifikate für privilegierte Konten zu erhalten.
Die Aktivitäten nutzten keine Schwachstelle in Teams aus. Stattdessen kombinierten die Angreifer Social Engineering mit Schwächen in Zertifikatvorlagen und Registrierungsendpunkten. Microsoft schrieb die Eindringversuche keiner bekannten Gruppe zu und gab nicht bekannt, wann sie stattfanden.
In beiden Fällen kontaktierten die Angreifer Mitarbeiter aus externen Teams-Mandanten und verwendeten Namen, die auf Support hindeuteten. Nachdem die Verbindung über Quick Assist hergestellt worden war, legten sie ein Archiv im Ordner „Downloads“ ab, entpackten es in ein Verzeichnis mit einem Namen, der einem Windows-Update ähnelte, und führten dessen Inhalte mithilfe portabler Python-, Bun- oder Java-Laufzeitumgebungen aus.
Beim ersten Eindringversuch fanden die Angreifer eine AD-CS-Vorlage, die für ESC1 anfällig war. Dadurch konnte ein Antragsteller für ein Zertifikat das Konto angeben, das durch das Zertifikat repräsentiert wurde. Zunächst zielten sie auf drei Benutzer und eine Arbeitsstation und erlangten Zertifikate für drei hoch privilegierte Konten. Die automatische Angriffsunterbrechung von Microsoft Defender deaktivierte die Identitäten und beendete deren aktive Sitzungen. Ein privilegiertes Konto war jedoch von der Reaktion ausgeschlossen worden und blieb verfügbar.
Etwa 90 Minuten später zielten die Angreifer auf 16 Benutzer und eine weitere Arbeitsstation und erlangten Zertifikate für acht zusätzliche privilegierte Konten. Mehr als 1.000 nachfolgende Versuche, über SMB auf Dateien zuzugreifen oder sich anzumelden, wurden laut Microsoft blockiert.
Innerhalb von Sekunden nach dem Erwerb eines Zertifikats authentifizierten sich die Angreifer an einem Domänencontroller und führten DCSync aus, um Kennwortdaten aus Active Directory zu kopieren. Die Eindämmung unterbrach den Vorgang, allerdings gab Microsoft nicht an, wie viele Anmeldedaten erlangt wurden. Das von der automatischen Eindämmung ausgeschlossene Konto wurde später verwendet, um einen Dateiserver zu erreichen. Dort übertrug eine umbenannte Kopie von Rclone Daten aus einer Freigabe auf einen externen SFTP-Server. Microsoft gab die Menge der kopierten Daten nicht bekannt.
Der zweite Eindringversuch folgte demselben auf Teams basierenden Zugangsweg, nutzte jedoch eine andere AD-CS-Technik. Da die ESC1-Schwachstelle nicht vorhanden war, verwendete der Angreifer PetitPotam, um einen Domänencontroller dazu zu zwingen, sich an einem vom Angreifer kontrollierten Rechner zu authentifizieren. Die daraus resultierende NTLM-Authentifizierung wurde über einen ESC8-Angriff an den Webregistrierungsdienst von AD CS weitergeleitet. Dadurch konnte der Angreifer ein Zertifikat für den Domänencontroller anfordern, ohne ein Kennwort zu kennen.
Mithilfe dieses Zertifikats und Kerberos PKINIT erlangte der Angreifer ein Ticket-Granting-Ticket für den Domänencontroller. Microsoft erklärte, dass die Reaktion in diesem Fall wirksam war: Defender erzeugte ESC8-Warnungen, der Kunde isolierte die Arbeitsstation, und es wurden keine weiteren Aktivitäten beobachtet.
Die Empfehlungen von Microsoft konzentrieren sich eher auf Konfiguration und Reaktion als auf einen Softwarepatch. Unternehmen sollten unerwartete Supportanfragen über etablierte interne Kanäle überprüfen, den Kontakt von externen Teams-Mandanten einschränken und ausschließlich genehmigte Tools für den Fernsupport zulassen. Außerdem sollten sie Zertifikatvorlagen auf übermäßige Registrierungsrechte oder die Möglichkeit überprüfen, die Identität eines anderen Kontos anzugeben.
Microsoft empfiehlt außerdem, für Webregistrierungsendpunkte von AD CS HTTPS und Extended Protection for Authentication zu verlangen, NTLM dort nach Möglichkeit zu deaktivieren und die Zertifikatauditing-Funktion zu aktivieren. Wenn ein bösartiges Zertifikat ausgestellt wird, sollte es widerrufen werden. Der Widerruf macht jedoch Kerberos-Tickets, die bereits ausgestellt wurden, nicht ungültig. Für von der automatischen Eindämmung ausgeschlossene Konten sollte zudem eine ausdrückliche manuelle Reaktion festgelegt werden.
Microsoft erklärte, dass sein Bericht Defender-Warnungen, vier Abfragen für Advanced Hunting und drei SHA-256-Hashes enthält, die mit den Skripten für den Erstzugang verbunden sind. Die aufgeführten Hashes lauten 85b6c424117494d3056e88689dbc94c75e9afdb187a339714043aec0da109f17, f326201269f1ee2f803ae435317507263bb6e0dbfdeb70bd1bb5446e2e46f001 und 06c5c14f043aee3bcc5843b5f50909623d5c9a6239a7c1fba9cddad4111469e7.
Microsoft wies darauf hin, dass ESC1 und ESC8 im Jahr 2021 identifiziert wurden und PetitPotam ebenfalls in diesem Jahr offengelegt wurde. Nach Angaben des Unternehmens zeigen die Vorfälle, wie Social Engineering über Teams mit Schwächen in AD CS kombiniert werden kann und wie ein von der automatisierten Eindämmung ausgenommenes Konto einen privilegierten Zugang aufrechterhalten kann. Extended Protection for Authentication ist für AD CS in Windows Server 2025 standardmäßig aktiviert. Microsoft erklärte, dass sie auf Server 2022 und Server 2019 manuell aktiviert werden muss.
Quellen: The Hacker News.