L'équipe de surveillance des menaces cybernétiques de Microsoft (Microsoft Threat Intelligence) a publié une analyse détaillée de deux cyberattaques à grande échelle menées par des attaquants humains, qui reposent sur la tromperie des utilisateurs via des applications de réseaux sociaux et des plateformes de travail collaboratif telles que Microsoft Teams pour accéder à l'infrastructure des réseaux d'entreprise.
Les incidents observés ont commencé par l'utilisation de messages et d'appels frauduleux usurpant l'identité du personnel de support technique ou du service d'assistance (Help Desk), utilisant une ingénierie sociale avancée pour convaincre les utilisateurs d'accorder des autorisations d'accès interactif à distance, souvent via l'outil d'assistance rapide (Quick Assist). Une fois la connexion établie, les attaquants ont procédé au déploiement d'environnements d'exécution portables tels que Python, Bun ou Java, et ont effectué des opérations de reconnaissance des appareils et du réseau, tout en évaluant les services de certificats Active Directory (AD CS) à la recherche de chemins d'authentification basés sur les certificats.
Chemins d'attaque divergents via la couche de certificats
Malgré la similitude de la phase d'accès initial, les attaques ont divergé au niveau de la couche de certificats en deux chemins principaux :
- Premier cas (ESC1) : L'attaquant a exploité un modèle de certificat vulnérable à la faille de configuration de sécurité ESC1 pour obtenir des certificats d'authentification pour des comptes disposant de privilèges étendus, et exécuter une opération de synchronisation de contrôleur de domaine (DCSync).
- Deuxième cas (ESC8) : L'attaquant a utilisé la technique PetitPotam pour forcer le serveur de domaine à s'authentifier auprès d'un système contrôlé par l'attaquant, puis a redirigé l'authentification NTLM du contrôleur vers le service d'inscription Web des certificats (AD CS Web Enrollment), extrayant un certificat pour le compte du serveur de domaine et l'utilisant pour l'authentification Kerberos (PKINIT).
Pourquoi cette nouvelle est-elle importante ?
La dangerosité de ces modèles d'attaque réside dans leur capacité à transformer une session de support à distance approuvée par l'utilisateur en un accès permanent et soutenu par des jetons d'authentification pour des entités hautement privilégiées et l'infrastructure fondamentale du domaine. Microsoft a souligné que les attaques n'ont pas exploité de vulnérabilités logicielles au sein de Microsoft Teams lui-même, mais ont reposé entièrement sur la tromperie des utilisateurs et sur les vulnérabilités liées aux configurations trop permissives dans les services de certificats Active Directory.
Mesures de prévention et d'investigation suggérées
Microsoft propose un ensemble de recommandations aux équipes de sécurité pour limiter ces risques, notamment :
- La vérification obligatoire des demandes de support inhabituelles via des canaux de communication internes connus avant de lancer des sessions de contrôle à distance.
- L'application de politiques de contrôle des applications (App Control for Business) pour restreindre l'exécution d'environnements portables à partir de dossiers accessibles en écriture par les utilisateurs.
- La révision et la sécurisation des paramètres des serveurs de certificats Active Directory et l'application des directives d'atténuation contre les attaques de relais NTLM (NTLM Relay) conformément à la documentation officielle de Microsoft (KB5005413).
- L'activation de l'audit avancé des services de certificats et la surveillance des événements de connexion et des certificats non autorisés.