Des attaquants se sont fait passer pour des employés du service informatique ou du support technique d’entreprises sur Microsoft-teams/">Microsoft Teams lors de deux intrusions examinées par Microsoft. Après avoir persuadé des employés d’ouvrir Windows Quick Assist et de partager des codes de connexion, les attaquants ont pris directement le contrôle de leurs postes de travail et exploité des configurations non sécurisées d’Active Directory Certificate Services (AD CS) afin d’obtenir des certificats d’authentification pour des comptes privilégiés.

L’activité n’a pas exploité de vulnérabilité dans Teams. Les attaquants ont plutôt combiné l’ingénierie sociale avec des faiblesses présentes dans les modèles de certificats et les points de terminaison d’inscription. Microsoft n’a pas attribué les intrusions à un groupe connu et n’a pas précisé quand elles se sont produites.

Dans les deux cas, les attaquants ont contacté des employés depuis des locataires Teams externes, en utilisant des noms évoquant le support technique. Une fois connectés via Quick Assist, ils ont placé une archive dans le dossier Téléchargements, l’ont extraite dans un répertoire dont le nom imitait celui d’une mise à jour Windows, puis ont exécuté son contenu à l’aide de runtimes portables Python, Bun ou Java.

Lors de la première intrusion, les attaquants ont trouvé un modèle AD CS vulnérable à ESC1, qui permettait au demandeur d’un certificat de spécifier le compte représenté par le certificat. Ils ont d’abord ciblé trois utilisateurs et un poste de travail, obtenant des certificats pour trois comptes hautement privilégiés. La fonction de perturbation automatique des attaques de Microsoft Defender a désactivé les identités et mis fin à leurs sessions actives, mais un compte privilégié avait été exclu de la réponse et restait disponible.

Environ 90 minutes plus tard, les attaquants ont ciblé 16 utilisateurs et un autre poste de travail, obtenant des certificats pour huit comptes privilégiés supplémentaires. Plus de 1 000 tentatives ultérieures d’accès à des fichiers via SMB ou de connexion ont été bloquées, selon Microsoft.

Quelques secondes après avoir obtenu l’un des certificats, les attaquants se sont authentifiés auprès d’un contrôleur de domaine et ont exécuté DCSync afin de copier les données de mots de passe depuis Active Directory. Le confinement a interrompu l’opération, bien que Microsoft n’ait pas indiqué quelle quantité de données d’identification avait été obtenue. Le compte exclu du confinement automatique a ensuite été utilisé pour atteindre un serveur de fichiers, où une copie renommée de Rclone a transféré des données depuis un partage vers un serveur SFTP externe. Microsoft n’a pas révélé la quantité de données copiées.

La seconde intrusion a suivi le même mode d’entrée fondé sur Teams, mais a utilisé une technique AD CS différente. La faiblesse ESC1 n’étant pas présente, l’attaquant a utilisé PetitPotam pour contraindre un contrôleur de domaine à s’authentifier auprès d’une machine contrôlée par l’attaquant. L’authentification NTLM ainsi obtenue a été relayée vers le service d’inscription web AD CS au moyen d’une attaque ESC8, permettant à l’attaquant de demander un certificat pour le contrôleur de domaine sans connaître de mot de passe.

À l’aide de ce certificat avec Kerberos PKINIT, l’attaquant a obtenu un ticket d’octroi de tickets pour le contrôleur de domaine. Microsoft a déclaré que la réponse avait été efficace dans ce cas : Defender a généré des alertes ESC8, le client a isolé le poste de travail et aucune autre activité n’a été observée.

Les recommandations de Microsoft portent sur la configuration et la réponse plutôt que sur un correctif logiciel. Les organisations doivent vérifier les demandes inattendues du support par l’intermédiaire des canaux internes établis, restreindre les contacts provenant de locataires Teams externes et n’autoriser que les outils de support à distance approuvés. Elles doivent également examiner les modèles de certificats afin de détecter des droits d’inscription excessifs ou la possibilité de spécifier l’identité d’un autre compte.

Microsoft recommande en outre d’exiger HTTPS et la protection étendue pour l’authentification sur les points de terminaison d’inscription web AD CS, de désactiver NTLM à ces endroits lorsque cela est possible et d’activer l’audit des certificats. Si un certificat malveillant est émis, il doit être révoqué, bien que la révocation n’invalide pas les tickets Kerberos déjà émis. Les comptes exclus du confinement automatique doivent également faire l’objet d’une réponse manuelle explicitement définie.

Microsoft a indiqué que son rapport comprend des alertes Defender, quatre requêtes de chasse avancée et trois hachages SHA-256 associés aux scripts d’accès initial. Les hachages indiqués sont 85b6c424117494d3056e88689dbc94c75e9afdb187a339714043aec0da109f17, f326201269f1ee2f803ae435317507263bb6e0dbfdeb70bd1bb5446e2e46f001 et 06c5c14f043aee3bcc5843b5f50909623d5c9a6239a7c1fba9cddad4111469e7.

Microsoft a indiqué qu’ESC1 et ESC8 avaient été identifiés en 2021, tandis que PetitPotam avait également été divulgué cette année-là. L’entreprise a déclaré que les incidents démontrent comment l’ingénierie sociale menée via Teams peut se combiner avec des faiblesses d’AD CS, et comment un compte laissé en dehors du confinement automatisé peut préserver une voie d’accès privilégiée. La protection étendue pour l’authentification est activée par défaut pour AD CS dans Windows Server 2025 ; Microsoft a indiqué qu’elle devait être activée manuellement sur Server 2022 et Server 2019.

Sources: The Hacker News.