Группа анализа угроз Microsoft (Microsoft Threat Intelligence) опубликовала подробный анализ двух масштабных кибератак, проведенных злоумышленниками, которые полагаются на обман пользователей через социальные сети и платформы для совместной работы, такие как Microsoft Teams, для получения доступа к инфраструктуре корпоративных сетей.
Наблюдаемые инциденты начинались с мошеннических сообщений и звонков, имитирующих сотрудников технической поддержки или службы поддержки (Help Desk), с использованием продвинутой социальной инженерии для убеждения пользователей предоставить права интерактивного удаленного доступа, часто через инструмент «Быстрая помощь» (Quick Assist). Как только соединение было установлено, злоумышленники развертывали портативные среды выполнения, такие как Python, Bun или Java, проводили разведку устройств и сети, а также оценивали службы сертификатов Active Directory (AD CS) для поиска путей аутентификации на основе сертификатов.
Различные векторы атак через уровень сертификатов
Несмотря на идентичность этапа первоначального доступа, на уровне сертификатов атаки разделились на два основных пути:
- Первый случай (ESC1): Злоумышленники использовали шаблон сертификатов, уязвимый для ошибки конфигурации безопасности ESC1, чтобы получить сертификаты аутентификации для учетных записей с широкими правами и выполнить операцию синхронизации контроллера домена (DCSync).
- Второй случай (ESC8): Злоумышленник использовал технику PetitPotam, чтобы заставить контроллер домена пройти аутентификацию в системе, контролируемой злоумышленником, а затем перенаправил аутентификацию NTLM контроллера домена в службу веб-регистрации сертификатов (AD CS Web Enrollment), извлекая сертификат для учетной записи контроллера домена и используя его для аутентификации Kerberos (PKINIT).
Почему эта новость важна?
Опасность этих моделей атак заключается в их способности превратить сеанс удаленной поддержки, одобренный пользователем, в постоянный доступ, подкрепленный учетными данными для высокопривилегированных сущностей и базовой инфраструктуры домена. Microsoft отметила, что атаки не использовали программные уязвимости внутри самого Microsoft Teams, а полностью полагались на обман пользователей и чрезмерно разрешительные настройки в службах сертификатов Active Directory.
Рекомендуемые меры по предотвращению и расследованию
Microsoft предлагает ряд рекомендаций для команд безопасности по снижению этих рисков, включая:
- Обязательную проверку необычных запросов в службу поддержки через известные внутренние каналы связи перед началом сеансов удаленного управления.
- Применение политик управления приложениями (App Control for Business) для ограничения запуска портативных сред выполнения из папок, доступных для записи пользователям.
- Проверку и защиту настроек серверов сертификатов Active Directory и применение руководств по смягчению последствий атак с ретрансляцией NTLM (NTLM Relay) в соответствии с официальной документацией Microsoft (KB5005413).
- Активацию расширенного аудита служб сертификатов и мониторинг событий входа в систему и несанкционированных сертификатов.