Gli aggressori si sono spacciati per dipendenti dell'IT aziendale o dell'help desk su Microsoft Teams in due intrusioni investigate da Microsoft. Dopo aver convinto i dipendenti ad aprire Windows Quick Assist e a condividere i codici di connessione, gli aggressori hanno ottenuto il controllo diretto delle loro workstation e hanno sfruttato configurazioni non sicure di Active Directory Certificate Services (AD CS) per ottenere certificati di autenticazione per account privilegiati.
L'attività non ha sfruttato una vulnerabilità di Teams. Gli aggressori hanno invece combinato l'ingegneria sociale con debolezze nei modelli di certificato e negli endpoint di registrazione. Microsoft non ha attribuito le intrusioni a un gruppo noto né ha divulgato quando si sono verificate.
In entrambi i casi, gli aggressori hanno contattato i dipendenti da tenant Teams esterni usando nomi legati all'assistenza. Una volta connessi tramite Quick Assist, hanno collocato un archivio nella cartella Download, lo hanno estratto in una directory con un nome simile a quello di un aggiornamento di Windows e ne hanno eseguito i contenuti usando runtime portabili di Python, Bun o Java.
Nella prima intrusione, gli aggressori hanno individuato un modello AD CS vulnerabile a ESC1, che consentiva al richiedente di un certificato di specificare l'account rappresentato dal certificato. Inizialmente hanno preso di mira tre utenti e una workstation, ottenendo certificati per tre account altamente privilegiati. La funzione automatica di Microsoft Defender per l'interruzione degli attacchi ha disabilitato le identità e terminato le sessioni attive, ma un account privilegiato era stato escluso dalla risposta ed è rimasto disponibile.
Circa 90 minuti dopo, gli aggressori hanno preso di mira 16 utenti e un'altra workstation, ottenendo certificati per altri otto account privilegiati. Secondo Microsoft, sono stati bloccati oltre 1.000 tentativi successivi di accedere ai file tramite SMB o di effettuare il login.
Entro pochi secondi dall'acquisizione di un certificato, gli aggressori si sono autenticati a un controller di dominio e hanno eseguito DCSync per copiare i dati delle password da Active Directory. Il contenimento ha interrotto l'operazione, sebbene Microsoft non abbia dichiarato quanti dati relativi alle credenziali siano stati ottenuti. L'account escluso dal contenimento automatico è stato successivamente utilizzato per raggiungere un file server, dove una copia rinominata di Rclone ha trasferito dati da una condivisione a un server SFTP esterno. Microsoft non ha divulgato la quantità di dati copiata.
La seconda intrusione ha seguito lo stesso percorso di ingresso basato su Teams, ma ha utilizzato una tecnica AD CS diversa. Poiché la debolezza ESC1 non era presente, l'aggressore ha usato PetitPotam per costringere un controller di dominio ad autenticarsi a una macchina controllata dall'aggressore. L'autenticazione NTLM risultante è stata inoltrata al servizio di registrazione web di AD CS tramite un attacco ESC8, consentendo all'aggressore di richiedere un certificato per il controller di dominio senza conoscere una password.
Usando quel certificato con Kerberos PKINIT, l'aggressore ha ottenuto un ticket-granting ticket per il controller di dominio. Microsoft ha affermato che in questo caso la risposta è stata efficace: Defender ha generato avvisi ESC8, il cliente ha isolato la workstation e non è stata osservata alcuna ulteriore attività.
Le raccomandazioni di Microsoft si concentrano sulla configurazione e sulla risposta, anziché su una patch software. Le organizzazioni dovrebbero verificare le richieste di assistenza inattese attraverso i canali interni stabiliti, limitare i contatti provenienti da tenant Teams esterni e consentire solo strumenti di assistenza remota approvati. Dovrebbero inoltre esaminare i modelli di certificato per individuare diritti di registrazione eccessivi o la possibilità di specificare l'identità di un altro account.
Microsoft raccomanda inoltre di richiedere HTTPS e Extended Protection for Authentication sugli endpoint di registrazione web di AD CS, disabilitando NTLM laddove possibile e abilitando il controllo dei certificati. Se viene emesso un certificato dannoso, dovrebbe essere revocato, sebbene la revoca non invalidi i ticket Kerberos già emessi. Agli account esclusi dal contenimento automatico dovrebbe inoltre essere assegnata una risposta manuale esplicita.
Microsoft ha dichiarato che il suo rapporto include avvisi di Defender, quattro query di advanced hunting e tre hash SHA-256 associati agli script di accesso iniziale. Gli hash elencati sono 85b6c424117494d3056e88689dbc94c75e9afdb187a339714043aec0da109f17, f326201269f1ee2f803ae435317507263bb6e0dbfdeb70bd1bb5446e2e46f001 e 06c5c14f043aee3bcc5843b5f50909623d5c9a6239a7c1fba9cddad4111469e7.
Microsoft ha osservato che ESC1 ed ESC8 sono stati identificati nel 2021, mentre anche PetitPotam è stato divulgato quell'anno. Ha affermato che gli incidenti dimostrano come l'ingegneria sociale basata su Teams possa combinarsi con le debolezze di AD CS e come un account lasciato fuori dal contenimento automatizzato possa preservare un percorso privilegiato. Extended Protection for Authentication è abilitato per impostazione predefinita per AD CS in Windows Server 2025; Microsoft ha dichiarato che deve essere abilitato manualmente su Server 2022 e Server 2019.
Fonti: The Hacker News.