El equipo de inteligencia de amenazas de Microsoft (Microsoft Threat Intelligence) ha publicado un análisis detallado de dos brechas de ciberseguridad a gran escala ejecutadas por atacantes humanos, las cuales se basan en engañar a los usuarios a través de aplicaciones de redes sociales y plataformas de trabajo colaborativo como Microsoft Teams para acceder a la infraestructura de red de las organizaciones.
Los incidentes observados comenzaron utilizando mensajes y llamadas fraudulentas que suplantaban al personal de soporte técnico o al servicio de asistencia (Help Desk), utilizando ingeniería social avanzada para convencer a los usuarios de otorgar permisos de acceso interactivo remoto, a menudo a través de la herramienta Asistencia rápida (Quick Assist). Una vez establecida la conexión, los atacantes procedieron a desplegar entornos de ejecución portátiles como Python, Bun o Java, y a realizar operaciones de reconocimiento de dispositivos y redes, evaluando los servicios de certificados de Active Directory (AD CS) en busca de rutas de autenticación basadas en certificados.
Rutas de ataque divergentes a través de la capa de certificados
A pesar de la coincidencia en la fase de acceso inicial, los ataques se bifurcaron en la capa de certificados hacia dos rutas principales:
- Primer caso (ESC1): El atacante explotó una plantilla de certificados afectada por la vulnerabilidad de configuración de seguridad ESC1 para obtener certificados de autenticación para cuentas con privilegios elevados y ejecutar una operación de sincronización de controlador de dominio (DCSync).
- Segundo caso (ESC8): El atacante utilizó la técnica PetitPotam para forzar al servidor de dominio a autenticarse con un sistema controlado por el atacante, luego redirigió la autenticación NTLM del controlador de dominio al servicio de inscripción web de certificados (AD CS Web Enrollment), extrayendo un certificado para la cuenta del servidor de dominio y utilizándolo para la autenticación Kerberos (PKINIT).
¿Por qué es importante esta noticia?
La gravedad de estos patrones de ataque radica en su capacidad para convertir una sesión de soporte remoto aprobada por el usuario en un acceso persistente y respaldado por credenciales de autenticación para entidades con altos privilegios y la infraestructura central del dominio. Microsoft señaló que los ataques no explotaron vulnerabilidades de software dentro del propio Microsoft Teams, sino que dependieron totalmente del engaño a los usuarios y de las vulnerabilidades de configuración excesivamente permisivas en los servicios de certificados de Active Directory.
Medidas de prevención e investigación propuestas
Microsoft ofrece una serie de recomendaciones para que los equipos de seguridad mitiguen estos riesgos, que incluyen:
- Verificación obligatoria de las solicitudes de soporte inusuales a través de canales de comunicación internos conocidos antes de iniciar sesiones de control remoto.
- Implementación de políticas de control de aplicaciones (App Control for Business) para restringir la ejecución de entornos de ejecución portátiles desde carpetas que pueden ser escritas por los usuarios.
- Revisión y aseguramiento de la configuración de los servidores de certificados de Active Directory y aplicación de las directrices de mitigación contra ataques de retransmisión NTLM (NTLM Relay) según la documentación oficial de Microsoft (KB5005413).
- Activación de la auditoría avanzada de los servicios de certificados y monitoreo de eventos de inicio de sesión y certificados no autorizados.