Nep-helpdesk in Teams misbruikt AD CS voor domeinadmin

Een aanvaller die zich via Teams voordoet als de helpdesk, een gebruiker die Quick Assist opent, en kort daarna certificaten voor beheerdersaccounts. Microsoft Threat Intelligence beschrijft in een analyse van vrijdag twee inbraken die zo verliepen. Geen lek in Teams, maar social engineering plus te ruim ingestelde Active Directory Certificate Services.

Waarom certificaten zo lastig zijn

AD CS kan een certificaataanvraag veranderen in een blijvende inlogroute. Wie een authenticatiecertificaat voor een beheerders- of machineaccount bemachtigt, gebruikt dat los van het wachtwoord. Daar wringt het bij opruimen: een wachtwoordreset of een herinstallatie van de eerste werkplek trekt een uitgegeven certificaat niet in, en maakt bestaande Kerberos-tickets niet ongeldig.

De gedeelde aanloop

Beide zaken begonnen met Teams-berichten en -gesprekken van nagebootste supportmedewerkers, met onmicrosoft.com-tenantnamen en weergavenamen in de stijl van de organisatie. Teams labelt zulke gesprekken wel als Extern en soms als Vermoedelijke scam.

Zodra de gebruiker via Quick Assist de besturing overdroeg, plaatste de aanvaller een archief in Downloads, pakte dat uit in een nieuwe map met een KB-achtige naam in het gebruikersprofiel, en startte de payload met een meegeleverde Python-, Bun- of Java-runtime. Bestandsnamen zijn volgens Microsoft zwakke indicatoren: let op een meegebrachte runtime die start uit een net aangemaakte, schrijfbare gebruikersmap, kort na een onverwachte remote-sessie.

Twee routes, twee uitkomsten

In de eerste zaak vond de aanvaller een sjabloon dat kwetsbaar is voor ESC1: de aanvrager mag zelf de identiteit in het verzoek meegeven en krijgt een certificaat waarmee geauthenticeerd kan worden. Een golf op drie gebruikers leverde certificaten voor drie beheerdersaccounts op; negentig minuten later volgde een golf op zestien gebruikers, met acht beheerdersaccounts erbij.

Defender greep in en blokkeerde ruim duizend pogingen tot SMB-bestandstoegang, maar één beheerdersaccount was uitgezonderd van de containment en bleef bruikbaar. Daarmee bereikte de aanvaller een bestandsserver en startte hij een omgedoopte Rclone onder de naam SearchApp.exe, die data naar een externe SFTP-bestemming kopieerde. DCSync volgde al binnen seconden na het eerste certificaat.

In de tweede zaak was die ESC1-route er niet. De aanvaller gebruikte PetitPotam om via EFSRPC de domeincontroller te laten authenticeren naar een eigen systeem, en relayde die NTLM-authenticatie naar AD CS Web Enrollment onder /certsrv. Dat is ESC8. Zo kwam er een certificaat met het sjabloon Domain Controller, dat via PKINIT voor Kerberos werd gebruikt. Defender sloeg hier alarm op ESC8, de klant isoleerde de werkplek en verder kwam de aanvaller niet.

Wat je nu kunt doen

Microsoft geeft deze maatregelen mee:

• Laat gebruikers een ongevraagd supportverzoek verifiëren via een bekend intern kanaal, vóór ze opnemen, hun scherm delen of besturing overdragen.
• Loop het externe-toegangs- en federatiebeleid van Teams na en beperk externe domeinen.
• Beperk remote-supportsoftware tot goedgekeurde producten, en waarschuw als zo'n tool archieven uitpakt of scripts start uit schrijfbare gebruikersmappen. Blokkeer meegebrachte runtimes daar met App Control for Business.
• Controleer sjablonen die authenticatie toestaan op aanvrager-aangeleverde subjectgegevens, ruime enrollment-rechten en zwakke uitgiftevoorwaarden. Haal onnodige rechten weg en eis goedkeuring waar nodig.
• Inventariseer je Web Enrollment- en Certificate Enrollment Web Service-endpoints en verwijder wat je niet gebruikt.
• Eis HTTPS en zet Extended Protection for Authentication aan op die endpoints: EPA levert de channel binding die NTLM-relay tegenhoudt. Zet NTLM uit waar dat kan.
• Zet de auditsubcategorie Certification Services aan voor geslaagde én mislukte pogingen, en stel het auditfilter op de CA in.
• Neem bij een incident álle getroffen identiteiten en apparaten mee, controleer je containment-uitzonderingen, trek onterechte certificaten in en beoordeel Kerberos-tickets apart.

Defender for Identity heeft daarnaast AD CS-posture-assessments die kwetsbare ESC1-sjablonen en onveilige enrollment-endpoints opsporen. De activiteit is niet aan een specifieke groep toegeschreven.