Microsoft Tehdit İstihbaratı (Microsoft Threat Intelligence) ekibi, insan operatörler tarafından gerçekleştirilen ve kurumsal ağ altyapısına erişmek için Microsoft Teams gibi iş birliği platformları ve sosyal medya uygulamaları üzerinden kullanıcıları kandırmaya dayanan iki geniş ölçekli siber saldırıya ilişkin ayrıntılı bir analiz yayınladı.
Gözlemlenen olaylar, teknik destek veya yardım masası (Help Desk) personeli taklidi yapan sahte mesajlar ve aramalarla başladı. Bu saldırılarda, kullanıcıları genellikle Hızlı Yardım (Quick Assist) aracı aracılığıyla etkileşimli uzaktan erişim izinleri vermeye ikna etmek için gelişmiş sosyal mühendislik teknikleri kullanıldı. Bağlantı kurulduktan sonra saldırganlar, Python, Bun veya Java gibi taşınabilir çalışma ortamlarını dağıtarak cihaz ve ağ keşif işlemleri gerçekleştirdi ve sertifika tabanlı kimlik doğrulama yollarını aramak için Active Directory Sertifika Hizmetleri'ni (AD CS) değerlendirdi.
Sertifika Katmanı Üzerinden Farklılaşan Saldırı Yolları
İlk erişim aşaması aynı olmasına rağmen, saldırılar sertifika katmanında iki ana yola ayrıldı:
- Birinci Durum (ESC1): Saldırganlar, yüksek yetkili hesaplar için kimlik doğrulama sertifikaları elde etmek ve DCSync işlemini gerçekleştirmek amacıyla ESC1 güvenlik yapılandırma açığına sahip bir sertifika şablonunu istismar etti.
- İkinci Durum (ESC8): Saldırgan, etki alanı denetleyicisini (Domain Controller) saldırganın kontrolündeki bir sistemle kimlik doğrulamaya zorlamak için PetitPotam tekniğini kullandı. Ardından, etki alanı denetleyicisinin NTLM kimlik doğrulamasını AD CS Web Kaydı (Web Enrollment) hizmetine yönlendirerek, etki alanı denetleyicisi hesabı için bir sertifika çıkardı ve bunu Kerberos kimlik doğrulaması (PKINIT) için kullandı.
Bu Haber Neden Önemli?
Bu saldırı modellerinin tehlikesi, kullanıcının onayladığı bir uzaktan destek oturumunu, yüksek ayrıcalıklı varlıklar ve temel etki alanı yapısı için kimlik doğrulama rozetleriyle desteklenen kalıcı bir erişime dönüştürme yeteneklerinde yatmaktadır. Microsoft, saldırıların Microsoft Teams'in kendisindeki yazılım açıklarını istismar etmediğini, tamamen kullanıcıların kandırılmasına ve Active Directory Sertifika Hizmetleri'ndeki aşırı izinli yapılandırma açıklarına dayandığını belirtti.
Önerilen Önleme ve İnceleme Tedbirleri
Microsoft, güvenlik ekiplerinin bu riskleri azaltması için bir dizi öneri sunmaktadır:
- Uzaktan kontrol oturumları başlatılmadan önce, alışılmadık destek taleplerinin bilinen dahili iletişim kanalları aracılığıyla zorunlu olarak doğrulanması.
- Kullanıcılar tarafından yazılabilir klasörlerden taşınabilir çalışma ortamlarının çalıştırılmasını kısıtlamak için İşletmeler için Uygulama Denetimi (App Control for Business) politikalarının uygulanması.
- Active Directory Sertifika Hizmetleri sunucu ayarlarının gözden geçirilip güvenli hale getirilmesi ve Microsoft'un resmi belgelerine (KB5005413) uygun olarak NTLM röle saldırılarına karşı azaltma yönergelerinin uygulanması.
- Sertifika hizmetleri için gelişmiş denetimin etkinleştirilmesi ve yetkisiz oturum açma ve sertifika olaylarının izlenmesi.