微软网络威胁情报团队（Microsoft Threat Intelligence）发布了一份详细分析，关于由人类攻击者实施的两起大规模网络入侵事件，这些事件依靠通过社交媒体应用和协作平台（如微软团队 Microsoft Teams）来欺骗用户，从而访问企业网络基础设施。
观察到的事件始于冒充技术支持人员或帮助台（Help Desk）的欺诈性消息和电话，利用高级社会工程学说服用户授予交互式远程访问权限，通常是通过快速协助工具（Quick Assist）。一旦建立连接，攻击者便部署便携式运行环境（例如 Python、Bun 或 Java），对设备和网络进行侦察，并评估 Active Directory 证书服务（AD CS）以寻找基于证书的身份验证路径。
证书层面的不同攻击路径
尽管初始访问阶段相同，但攻击在证书层面分叉为两条主要路径：
- 第一种情况（ESC1）：攻击者利用存在安全配置漏洞 ESC1 的证书模板，获取具有广泛权限的账户的身份验证证书，并执行域控同步（DCSync）操作。
- 第二种情况（ESC2）：攻击者使用 PetitPotam 技术迫使域服务器向攻击者控制的系统进行身份验证，然后将域控制器的 NTLM 身份验证重定向到 Active Directory 证书 Web 注册服务（AD CS Web Enrollment），提取域服务器账户的证书并将其用于 Kerberos 身份验证（PKINIT）。
- 第二种情况（ESC8）：攻击者使用 PetitPotam 技术迫使域服务器向攻击者控制的系统进行身份验证，然后将域控制器的 NTLM 身份验证重定向到 Active Directory 证书 Web 注册服务（AD CS Web Enrollment），提取域服务器账户的证书并将其用于 Kerberos 身份验证（PKINIT）。
为什么这条新闻很重要？
这些攻击模式的危险性在于，它们能够将用户批准的远程支持会话转变为持久的访问权限，并由高权限实体和核心域基础架构的身份验证凭据提供支持。微软指出，这些攻击并未利用微软团队内部的软件漏洞，而是完全依赖于欺骗用户以及 Active Directory 证书服务中过于宽松的配置漏洞。
建议的预防和调查措施
微软向安全团队提出了一系列建议以降低这些风险，包括：
- 在启动远程控制会话之前，必须通过已知的内部通信渠道对不寻常的支持请求进行验证。
- 应用应用程序控制策略（App Control for Business），以限制从用户可写文件夹中运行便携式运行环境。
- 审查并保护 Active Directory 证书服务器的设置，并根据微软官方文档（KB5005413）应用针对 NTLM 中继攻击（NTLM Relay）的缓解指南。
- 启用证书服务的高级审核，并监控登录事件和未授权证书。