Atacantes se fizeram passar por funcionários de TI ou do suporte técnico de empresas no Microsoft-teams/">Microsoft Teams em duas intrusões investigadas pela Microsoft. Depois de convencerem funcionários a abrir o Windows Quick Assist e compartilhar códigos de conexão, os atacantes obtiveram controle direto de suas estações de trabalho e usaram configurações inseguras do Active Directory Certificate Services (AD CS) para obter certificados de autenticação para contas privilegiadas.

A atividade não explorou uma vulnerabilidade no Teams. Em vez disso, os atacantes combinaram engenharia social com falhas em modelos de certificados e endpoints de inscrição. A Microsoft não atribuiu as intrusões a um grupo conhecido nem divulgou quando elas ocorreram.

Nos dois casos, os atacantes contataram funcionários a partir de locatários externos do Teams usando nomes relacionados a suporte. Depois de se conectarem por meio do Quick Assist, colocaram um arquivo compactado na pasta Downloads, extraíram seu conteúdo para um diretório cujo nome imitava uma atualização do Windows e executaram o conteúdo usando os runtimes portáteis Python, Bun ou Java.

Na primeira intrusão, os atacantes encontraram um modelo do AD CS vulnerável ao ESC1, que permitia ao solicitante de um certificado especificar a conta representada pelo certificado. Inicialmente, eles tinham como alvo três usuários e uma estação de trabalho, obtendo certificados para três contas altamente privilegiadas. A interrupção automática de ataques do Microsoft Defender desabilitou as identidades e encerrou suas sessões ativas, mas uma conta privilegiada havia sido excluída da resposta e permaneceu disponível.

Cerca de 90 minutos depois, os atacantes tiveram como alvo 16 usuários e outra estação de trabalho, obtendo certificados para oito contas privilegiadas adicionais. Mais de 1.000 tentativas subsequentes de acessar arquivos por SMB ou fazer login foram bloqueadas, segundo a Microsoft.

Poucos segundos depois de obter um dos certificados, os atacantes se autenticaram em um controlador de domínio e executaram o DCSync para copiar dados de senhas do Active Directory. A contenção interrompeu a operação, embora a Microsoft não tenha informado quantos dados de credenciais foram obtidos. A conta excluída da contenção automática foi posteriormente usada para acessar um servidor de arquivos, onde uma cópia renomeada do Rclone transferiu dados de um compartilhamento para um servidor SFTP externo. A Microsoft não divulgou a quantidade de dados copiados.

A segunda intrusão seguiu o mesmo caminho de entrada baseado no Teams, mas usou uma técnica diferente do AD CS. Como a falha ESC1 não estava presente, o atacante usou o PetitPotam para obrigar um controlador de domínio a se autenticar em uma máquina controlada pelo atacante. A autenticação NTLM resultante foi retransmitida para o serviço de inscrição web do AD CS por meio de um ataque ESC8, permitindo que o atacante solicitasse um certificado para o controlador de domínio sem conhecer uma senha.

Usando esse certificado com o Kerberos PKINIT, o atacante obteve um ticket-granting ticket para o controlador de domínio. A Microsoft disse que a resposta foi eficaz nesse caso: o Defender gerou alertas de ESC8, o cliente isolou a estação de trabalho e nenhuma atividade adicional foi observada.

As recomendações da Microsoft concentram-se em configuração e resposta, e não em um patch de software. As organizações devem verificar solicitações inesperadas de suporte por meio de canais internos estabelecidos, restringir contatos de locatários externos do Teams e permitir apenas ferramentas aprovadas de suporte remoto. Elas também devem revisar os modelos de certificados em busca de direitos excessivos de inscrição ou da capacidade de especificar a identidade de outra conta.

A Microsoft também recomenda exigir HTTPS e Extended Protection for Authentication nos endpoints de inscrição web do AD CS, desabilitar o NTLM nesses endpoints sempre que possível e habilitar a auditoria de certificados. Se um certificado malicioso for emitido, ele deverá ser revogado, embora a revogação não invalide tickets Kerberos que já tenham sido emitidos. As contas excluídas da contenção automática também devem ter uma resposta manual explícita designada.

A Microsoft informou que seu relatório inclui alertas do Defender, quatro consultas de busca avançada e três hashes SHA-256 associados aos scripts de acesso inicial. Os hashes listados são 85b6c424117494d3056e88689dbc94c75e9afdb187a339714043aec0da109f17, f326201269f1ee2f803ae435317507263bb6e0dbfdeb70bd1bb5446e2e46f001 e 06c5c14f043aee3bcc5843b5f50909623d5c9a6239a7c1fba9cddad4111469e7.

A Microsoft observou que ESC1 e ESC8 foram identificados em 2021, enquanto o PetitPotam também foi divulgado naquele ano. A empresa afirmou que os incidentes demonstram como a engenharia social baseada no Teams pode se combinar com falhas do AD CS e como uma conta deixada fora da contenção automatizada pode preservar um caminho privilegiado. A Extended Protection for Authentication é habilitada por padrão para o AD CS no Windows Server 2025; a Microsoft disse que ela deve ser habilitada manualmente no Server 2022 e no Server 2019.

Fontes: The Hacker News.