A equipe de monitoramento de ameaças cibernéticas da Microsoft (Microsoft Threat Intelligence) publicou uma análise detalhada de duas invasões cibernéticas em larga escala realizadas por agentes humanos, que dependem de enganar usuários através de aplicativos de redes sociais e plataformas de colaboração, como o Microsoft Teams, para obter acesso à infraestrutura de redes corporativas.
Os incidentes observados começaram com mensagens e chamadas fraudulentas que se passavam por equipes de suporte técnico ou Help Desk, utilizando engenharia social avançada para convencer os usuários a conceder permissões de acesso interativo remoto, frequentemente através da ferramenta Quick Assist. Uma vez estabelecida a conexão, os atacantes procederam com a implantação de ambientes de execução portáteis, como Python, Bun ou Java, realizando operações de reconhecimento de dispositivos e da rede, além de avaliar os serviços de certificados do Active Directory (AD CS) em busca de caminhos de autenticação baseados em certificados.
Caminhos de ataque divergentes através da camada de certificados
Apesar da semelhança na fase de acesso inicial, os ataques ramificaram-se na camada de certificados em dois caminhos principais:
- Primeiro caso (ESC1): O atacante explorou um modelo de certificado vulnerável à falha de configuração de segurança ESC1 para obter certificados de autenticação para contas com privilégios elevados e executar uma operação de sincronização de controlador de domínio (DCSync).
- Segundo caso (ESC8): O atacante utilizou a técnica PetitPotam para forçar o servidor de domínio a autenticar-se com um sistema controlado pelo atacante, redirecionando então a autenticação NTLM do controlador para o serviço de registro de certificados web (AD CS Web Enrollment), extraindo um certificado para a conta do servidor de domínio e utilizando-o para a autenticação Kerberos (PKINIT).
Por que esta notícia é importante?
A gravidade destes padrões de ataque reside na sua capacidade de transformar uma sessão de suporte remoto autorizada pelo usuário em um acesso persistente, respaldado por credenciais de autenticação de entidades com privilégios elevados e da infraestrutura central do domínio. A Microsoft destacou que os ataques não exploraram vulnerabilidades de software dentro do próprio Microsoft Teams, mas basearam-se inteiramente na manipulação de usuários e em falhas de configurações excessivamente permissivas nos serviços de certificados do Active Directory.
Medidas de prevenção e investigação sugeridas
A Microsoft apresenta um conjunto de recomendações para as equipes de segurança mitigarem estes riscos, incluindo:
- Verificação obrigatória de solicitações de suporte incomuns através de canais de comunicação internos conhecidos antes de iniciar sessões de controle remoto.
- Aplicação de políticas de controle de aplicativos (App Control for Business) para restringir a execução de ambientes de execução portáteis a partir de pastas com permissão de escrita pelos usuários.
- Revisão e proteção das configurações dos servidores de certificados do Active Directory e aplicação das diretrizes de mitigação contra ataques de redirecionamento (NTLM Relay) conforme a documentação oficial da Microsoft (KB5005413).
- Ativação de auditoria avançada para serviços de certificados e monitoramento de eventos de login e certificados não autorizados.