Los atacantes se hicieron pasar por personal de TI o de soporte técnico de empresas en Microsoft Teams durante dos intrusiones investigadas por Microsoft. Tras convencer a empleados para que abrieran Windows Quick Assist y compartieran códigos de conexión, los atacantes obtuvieron el control directo de sus estaciones de trabajo y utilizaron configuraciones inseguras de Active Directory Certificate Services (AD CS) para obtener certificados de autenticación de cuentas privilegiadas.
La actividad no explotó una vulnerabilidad de Teams. En su lugar, los atacantes combinaron ingeniería social con debilidades en las plantillas de certificados y los puntos de inscripción. Microsoft no atribuyó las intrusiones a un grupo conocido ni reveló cuándo ocurrieron.
En ambos casos, los atacantes contactaron con empleados desde inquilinos externos de Teams utilizando nombres relacionados con soporte técnico. Una vez conectados mediante Quick Assist, colocaron un archivo comprimido en la carpeta Descargas, lo extrajeron en un directorio cuyo nombre imitaba al de una actualización de Windows y ejecutaron su contenido utilizando runtimes portátiles de Python, Bun o Java.
En la primera intrusión, los atacantes encontraron una plantilla de AD CS vulnerable a ESC1, que permitía al solicitante de un certificado especificar la cuenta representada por el certificado. Inicialmente apuntaron a tres usuarios y una estación de trabajo, y obtuvieron certificados para tres cuentas con altos privilegios. La interrupción automática de ataques de Microsoft Defender deshabilitó las identidades y terminó sus sesiones activas, pero una cuenta privilegiada había quedado excluida de la respuesta y siguió disponible.
Aproximadamente 90 minutos después, los atacantes apuntaron a 16 usuarios y otra estación de trabajo, y obtuvieron certificados para ocho cuentas privilegiadas adicionales. Según Microsoft, se bloquearon más de 1.000 intentos posteriores de acceder a archivos mediante SMB o iniciar sesión.
En cuestión de segundos después de adquirir un certificado, los atacantes se autenticaron en un controlador de dominio y ejecutaron DCSync para copiar datos de contraseñas de Active Directory. La contención interrumpió la operación, aunque Microsoft no indicó cuántos datos de credenciales se obtuvieron. La cuenta excluida de la contención automática se utilizó posteriormente para acceder a un servidor de archivos, donde una copia renombrada de Rclone transfirió datos desde un recurso compartido a un servidor SFTP externo. Microsoft no reveló la cantidad de datos copiados.
La segunda intrusión siguió la misma vía de entrada basada en Teams, pero utilizó una técnica diferente de AD CS. Como la debilidad ESC1 no estaba presente, el atacante utilizó PetitPotam para obligar a un controlador de dominio a autenticarse en una máquina controlada por el atacante. La autenticación NTLM resultante se retransmitió al servicio de inscripción web de AD CS mediante un ataque ESC8, lo que permitió al atacante solicitar un certificado para el controlador de dominio sin conocer una contraseña.
Utilizando ese certificado con Kerberos PKINIT, el atacante obtuvo un ticket-granting ticket para el controlador de dominio. Microsoft afirmó que la respuesta fue eficaz en este caso: Defender generó alertas de ESC8, el cliente aisló la estación de trabajo y no se observó ninguna actividad posterior.
Las recomendaciones de Microsoft se centran en la configuración y la respuesta, no en un parche de software. Las organizaciones deben verificar las solicitudes de soporte inesperadas mediante canales internos establecidos, restringir el contacto desde inquilinos externos de Teams y permitir únicamente herramientas de soporte remoto aprobadas. También deben revisar las plantillas de certificados para detectar derechos de inscripción excesivos o la posibilidad de especificar la identidad de otra cuenta.
Microsoft recomienda además exigir HTTPS y Extended Protection for Authentication en los puntos de inscripción web de AD CS, deshabilitar NTLM allí cuando sea posible y habilitar la auditoría de certificados. Si se emite un certificado malicioso, debe revocarse, aunque la revocación no invalida los tickets de Kerberos que ya se hayan emitido. Las cuentas excluidas de la contención automática también deben tener asignada una respuesta manual explícita.
Microsoft indicó que su informe incluye alertas de Defender, cuatro consultas de búsqueda avanzada y tres hashes SHA-256 asociados con los scripts de acceso inicial. Los hashes enumerados son 85b6c424117494d3056e88689dbc94c75e9afdb187a339714043aec0da109f17, f326201269f1ee2f803ae435317507263bb6e0dbfdeb70bd1bb5446e2e46f001 y 06c5c14f043aee3bcc5843b5f50909623d5c9a6239a7c1fba9cddad4111469e7.
Microsoft señaló que ESC1 y ESC8 fueron identificados en 2021, mientras que PetitPotam también fue divulgado ese año. Afirmó que los incidentes demuestran cómo la ingeniería social basada en Teams puede combinarse con debilidades de AD CS, y cómo una cuenta mantenida fuera de la contención automatizada puede conservar una vía privilegiada. Extended Protection for Authentication está habilitado de forma predeterminada para AD CS en Windows Server 2025; Microsoft indicó que debe habilitarse manualmente en Server 2022 y Server 2019.
Fuentes: The Hacker News.