Лжесотрудники техподдержки в Teams получили сертификаты привилегированных учётных записей
Изображение: OpenAI
Злоумышленники выдавали себя за техподдержку в Microsoft Teams и использовали ошибки в настройках службы сертификатов Active Directory (AD CS) для выпуска сертификатов привилегированных учётных записей. Исследователи Microsoft описали два таких вторжения: пользователи сами разрешали удалённое подключение к компьютерам, преимущественно через Quick Assist.
В первом случае злоумышленник использовал небезопасный шаблон сертификатов AD CS, получил сертификаты сначала трёх, затем ещё восьми привилегированных учётных записей и выполнил DCSync. Такая конфигурация позволяла пользователю с обычными правами запросить сертификат для входа от имени привилегированной учётной записи. Этот способ атаки известен как ESC1.
Defender заблокировал значительную часть последующих действий атакующего, но одна привилегированная учётная запись была исключена из автоматического реагирования. Злоумышленник продолжил использовать её и похитил данные с файлового сервера.
Во втором случае путь через ESC1 был недоступен. Злоумышленник применил PetitPotam, чтобы заставить контроллер домена пройти NTLM-аутентификацию на подконтрольной ему системе. Затем он перенаправил эту аутентификацию в веб-службу выдачи сертификатов AD CS, где не было достаточной защиты от ретрансляции. Этот метод, известный как ESC8, позволил получить сертификат учётной записи контроллера домена и использовать его для получения билета Kerberos TGT.
Defender выдал предупреждения, связанные с ESC8, после чего организация изолировала задействованный компьютер. Дальнейшего развития второй атаки исследователи не наблюдали.
Уязвимость Teams в этих вторжениях не эксплуатировалась: атаки опирались на социальную инженерию и небезопасные настройки AD CS.
Смена пароля или переустановка системы на исходном компьютере не отзывают выданные сертификаты и не аннулируют уже полученные билеты Kerberos. Microsoft рекомендует при устранении последствий атаки отозвать несанкционированно выданные сертификаты и отдельно проверить активные билеты Kerberos.
