Das Microsoft Threat Intelligence-Team hat eine detaillierte Analyse zweier groß angelegter Cyber-Intrusionen veröffentlicht, die von menschlichen Angreifern durchgeführt wurden und darauf basieren, Benutzer über Social-Media-Anwendungen und Kollaborationsplattformen wie Microsoft Teams zu täuschen, um Zugang zur Infrastruktur von Unternehmensnetzwerken zu erlangen.
Die beobachteten Vorfälle begannen mit betrügerischen Nachrichten und Anrufen, die sich als technisches Supportpersonal oder Helpdesk ausgaben, und nutzten fortgeschrittene Social Engineering, um Benutzer davon zu überzeugen, interaktive Fernzugriffsberechtigungen zu gewähren, häufig über das Quick Assist-Tool. Sobald die Verbindung hergestellt war, setzten die Angreifer portable Laufzeitumgebungen wie Python, Bun oder Java ein, führten Geräte- und Netzwerkerkundungen durch und bewerteten Active Directory-Zertifikatsdienste (AD CS) auf der Suche nach zertifikatsbasierten Authentifizierungspfaden.
Unter schiedliche Angriffsfade über die Zertifikatsebene
Trotz der übereinstimmenden Phase des Erstanzugs verzweigten sich die Angriffe auf der Zertifikatsebene in zwei Hauptpfade:
- Erster Fall (ESC1): Der Angreifer nutzte eine von der Sicherheitskonfigurationsschwachstelle ESC1 betroffene Zertifikatvorlage aus, um Authentifizierungszertifikate für hoch privilegierten Konten zu erhalten und einen DCSync-Vorgang durchzuführen.
- Zweiter Fall (ESC8): Der Angreifer nutzte die PetitPotam-Technik, um den Domänencontroller zur Authentifizierung bei einem vom Angreifer kontrollierten System zu zwingen, leitete dann die NTLM-Authentifizierung des Controllers an den AD CS Web Enrollment-Dienst weiter, extrahierte ein Zertifikat für das Domänencontrollerkonto und verwendete es für die Kerberos-Authentifizierung (PKINIT).
Warum diese Nachricht wichtig ist
Die Gefahr dieser Angriffsmuster liegt in ihrer Fähigkeit, eine vom Benutzer genehmigte Fernsitzung in einen dauerhaften Zugriff umzuwandeln, der durch Authentifizierungsausweise für hoch privilegierte Entitäten und die primäre Domänenstruktur gestützt wird. Microsoft wies darauf hin, dass die Angriffe keine Software-Schwachstellen innerhalb von Microsoft Teams selbst ausnutzten, sondern sich vollständig auf Benutzertäuschung und zu permissive Konfigurationseinstellungen in den Active Directory-Zertifikatsdiensten verließen.
Empfohlene Präventions- und Untersuchungsmaßnahmen
Microsoft bietet Sicherheitsteams eine Reihe von Empfehlungen zur Minderung dieser Risiken, darunter:
- Obligatorische Überprüfung ungewöhnlicher Support-Anfragen über bekannte interne Kommunikationskanäle vor dem Start von Fernsteuerungssitzungen.
- Anwendung von App Control for Business-Richtlinien, um die Ausführung portabler Laufzeitumgebungen aus von Benutzern beschreibbaren Ordnern einzuschränken.
- Überprüfung und Absicherung der Einstellungen von Active Directory-Zertifikatsservern sowie Anwendung von Minderungshinweisen gegen NTLM Relay-Angriffe gemäß der offiziellen Microsoft-Dokumentation (KB5005413).
- Aktivierung der erweiterten Überwachung für Zertifikatsdienste und Überwachung von Anmeldeereignissen und unautorisierten Zertifikaten.