Microsoftの脅威インテリジェンスチーム（Microsoft Threat Intelligence）は、人間が実行する大規模なサイバー攻撃2件に関する詳細な分析を発表しました。これらの攻撃は、Microsoft Teamsなどのソーシャルメディアやコラボレーションプラットフォームを通じてユーザーを欺き、組織のネットワークインフラストラクチャに侵入する手法をとっています。
観測されたインシデントは、テクニカルサポートやヘルプデスクを装った詐欺メッセージや通話から始まりました。高度なソーシャルエンジニアリングを駆使して、多くの場合「クイックアシスト（Quick Assist）」ツールを介して、ユーザーにリモート対話型アクセス権を付与するよう説得します。接続が確立されると、攻撃者はPython、Bun、Javaなどのポータブル実行環境を展開し、デバイスやネットワークの偵察を行い、Active Directory証明書サービス（AD CS）を評価して証明書ベースの認証パスを探索しました。
証明書レイヤーにおける異なる攻撃パス
初期アクセスの段階は共通していますが、攻撃は証明書レイヤーで2つの主要なパスに分岐しました。
- ケース1（ESC1）：攻撃者は、セキュリティ設定の脆弱性ESC1の影響を受ける証明書テンプレートを悪用し、特権アカウントの認証証明書を取得して、DCSync操作を実行しました。
- ケース2（ESC8）：攻撃者はPetitPotam技術を使用して、ドメインコントローラーに攻撃者が制御するシステムに対して認証を行うよう強制しました。その後、ドメインコントローラーのNTLM認証をAD CS Web登録サービスにリレーし、ドメインコントローラーアカウントの証明書を抽出して、Kerberos認証（PKINIT）に使用しました。
このニュースが重要な理由
これらの攻撃パターンの危険性は、ユーザーが承認したリモートサポートセッションを、高権限エンティティやドメイン基盤の認証情報に裏打ちされた永続的なアクセスへと変換できる点にあります。Microsoftは、これらの攻撃がMicrosoft Teams自体のソフトウェアの脆弱性を悪用したものではなく、完全にユーザーの欺瞞とActive Directory証明書サービスにおける過度に許容的な設定の脆弱性に依存していると指摘しました。
推奨される予防および調査措置
Microsoftは、セキュリティチームに対し、これらのリスクを軽減するために以下の推奨事項を提示しています。
- リモート制御セッションを開始する前に、既知の内部通信チャネルを通じて、不審なサポートリクエストを必須で検証すること。
- App Control for Businessポリシーを適用し、ユーザーが書き込み可能なフォルダーからのポータブル実行環境の起動を制限すること。
- Active Directory証明書サーバーの設定をレビューおよび保護し、Microsoftの公式ドキュメント（KB5005413）に従ってNTLMリレー攻撃に対する緩和策を適用すること。
- 証明書サービスの高度な監査を有効にし、不正なログインイベントや証明書発行を監視すること。