Злоумышленники, выдавая себя за службу поддержки в Microsoft Teams, убедили сотрудников предоставить им удаленный доступ к своим ПК. Затем они использовали небезопасные настройки служб сертификатов Active Directory (AD CS) для получения сертификатов входа для привилегированных учетных записей, включая контроллер домена.
Microsoft сообщила в отчете, что расследовала два подобных инцидента. Один из них привел к копированию данных компании на внешний сервер.
Злоумышленники не использовали уязвимостей в самом Teams. Они полагались на социальную инженерию и небезопасные настройки AD CS, и Microsoft не связала эту активность с какой-либо известной группировкой.
Оба инцидента начались одинаково, отмечает Microsoft. Злоумышленники связывались с сотрудниками через Teams, выдавая себя за ИТ-специалистов или службу поддержки компании, используя для этого внешние учетные записи с названиями, похожими на названия внутренних служб.
Они убеждали каждого пользователя запустить Quick Assist, встроенный в Windows инструмент удаленной помощи, и продиктовать им код подключения. Это давало злоумышленнику прямой контроль над рабочей станцией.
После этого злоумышленник помещал архив в папку «Загрузки», распаковывал его в новую папку, имитирующую обновление Windows, и запускал содержимое с помощью портативной среды выполнения Python, Bun или Java. Сами имена файлов были слабым сигналом, поскольку одна копия была переименована, но сохранила сведения о версии реальной среды выполнения.
AD CS — это компонент Windows, который выдает сертификаты, используемые пользователями и компьютерами при входе в систему. Сертификат, выданный по шаблону с неправильной конфигурацией, позволяет его владельцу войти в систему от имени указанной учетной записи.
Microsoft заявила, что такой сертификат продолжает действовать даже после сброса пароля учетной записи или форматирования первого компьютера, поэтому ни одно из этих действий не прекращает доступ злоумышленника.
При первом инциденте злоумышленники нашли шаблон сертификата с уязвимостью, известной как ESC1. С таким шаблоном запрашивающий может указать имя учетной записи, которую будет представлять сертификат, позволяя пользователю с низкими привилегиями запросить сертификат для учетной записи с высокими привилегиями.
Первая волна атак была нацелена на трех пользователей и одну рабочую станцию, в результате чего были получены сертификаты для трех учетных записей с высокими привилегиями. Автоматическое прерывание атаки Microsoft Defender отключило эти учетные записи и завершило их активные сеансы. Однако одна привилегированная учетная запись не была охвачена автоматическим реагированием и осталась активной.
Примерно через 90 минут началась более масштабная волна, затронувшая 16 пользователей и вторую рабочую станцию, в результате чего были получены сертификаты для еще 8 привилегированных учетных записей. Microsoft сообщила, что более 1000 последующих попыток доступа к файлам через SMB или входа в систему были заблокированы.
В течение нескольких секунд после получения сертификата злоумышленник вошел в контроллер домена и запустил DCSync, инструмент для копирования данных паролей из Active Directory. Операция уже началась, когда сработали средства защиты, ограничившие объем реплицируемых данных. Microsoft не уточнила, сколько данных учетных данных было получено злоумышленником.
Исключенная учетная запись стала лазейкой. Злоумышленник продолжал использовать ее, получил доступ к файловому серверу и запустил переименованную копию инструмента копирования файлов Rclone для перемещения данных из общего ресурса на внешний SFTP-сервер. Microsoft не сообщила, сколько данных было украдено.
Этот случай демонстрирует, по словам Microsoft, что «частичное ограничение доступа к учетным записям может снизить активность атак, но при этом оставить действующий привилегированный маршрут».
Второй инцидент начался так же, но пошел по другому пути, поскольку уязвимость шаблона отсутствовала. Вместо этого злоумышленник использовал технику под названием PetitPotam, чтобы заставить контроллер домена аутентифицироваться на машине, контролируемой злоумышленником.
Этот вход NTLM был передан на страницу веб-регистрации AD CS, что является злоупотреблением, известным как ESC8, и не требовало пароля. Злоумышленник использовал переданный вход для запроса сертификата для самого контроллера домена. С этим сертификатом и Kerberos (PKINIT) злоумышленник получил билет выдачи билетов для контроллера домена, превратив однократный переданный вход в постоянную учетную запись.
Здесь реагирование сработало. Defender выдал оповещения ESC8, клиент изолировал рабочую станцию, и Microsoft сообщила, что дальнейшей активности не последовало.
Разница между двумя случаями заключалась в сдерживании. При первом инциденте автоматическое прерывание заблокировало большую часть атаки, но одна исключенная учетная запись осталась активной. Во втором случае изоляция одной рабочей станции остановила ее.
Исправления нет, поскольку программных ошибок не было. Рекомендации Microsoft касаются конфигурации и реагирования.
Microsoft не приписала эти вторжения какой-либо конкретной группе и не назвала даты их проведения.
Методы не новы. Исследователи назвали уязвимости сертификатов ESC1 и ESC8 в 2021 году, а трюк с принуждением PetitPotam был раскрыт в том же году. Сама Microsoft документировала метод проникновения через службу поддержки Teams для удаленного доступа ранее в 2026 году.
Что добавляет этот отчет, так это то, что две техники встречаются в реальных вторжениях, а также урок об исключенной учетной записи.
Новые версии Windows менее подвержены атакам по схеме ESC8. Microsoft включила EPA по умолчанию для AD CS в Windows Server 2025, тогда как в Server 2022 и 2019 ее необходимо включать вручную.
Отчет Microsoft содержит оповещения Defender по сигналам Teams, конечных точек и идентификации, а также четыре расширенных запроса для поиска, которые она называет «отправными точками для расследования», а не доказательствами сами по себе. Также были опубликованы три хэша файлов, связанных со скриптами первоначального доступа:
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
