Wprowadzenie do problemu / definicja
Najnowsze incydenty pokazują, że skuteczny cyberatak nie zawsze wymaga wykorzystania luki w oprogramowaniu. W opisywanej kampanii napastnicy podszywali się pod dział wsparcia IT w Microsoft Teams, nakłaniali pracowników do uruchomienia zdalnej pomocy, a następnie wykorzystywali błędnie skonfigurowane Active Directory Certificate Services (AD CS) do przejęcia uprzywilejowanych tożsamości.
To połączenie socjotechniki, legalnych narzędzi administracyjnych oraz słabo zabezpieczonej infrastruktury certyfikatów tworzy wyjątkowo niebezpieczny łańcuch ataku. W praktyce może on prowadzić do eskalacji uprawnień, trwałego dostępu do domeny i eksfiltracji danych.
W skrócie
Atak rozpoczynał się od wiadomości i połączeń w Microsoft Teams, w których cyberprzestępcy podszywali się pod firmowy help desk. Ofiary były przekonywane do uruchomienia Quick Assist i przekazania kodu sesji, co dawało napastnikom interaktywny dostęp do stacji roboczej.
- Wejście następowało przez socjotechnikę, a nie przez lukę w Microsoft Teams.
- Napastnicy używali Quick Assist do przejęcia kontroli nad urządzeniem.
- Po uzyskaniu dostępu analizowali środowisko i szukali możliwości nadużyć w AD CS.
- W jednym scenariuszu wykorzystano błędny szablon certyfikatów ESC1.
- W drugim użyto PetitPotam oraz łańcucha ESC8 do uzyskania certyfikatu dla kontrolera domeny.
- Finałem mogły być DCSync, ruch boczny i kradzież danych.
Kontekst / historia
AD CS od lat pozostaje jednym z częściej niedoszacowanych elementów powierzchni ataku w środowiskach Windows. Usługa odpowiada za wystawianie certyfikatów używanych m.in. do uwierzytelniania użytkowników i komputerów, dlatego jej błędna konfiguracja może mieć bezpośredni wpływ na bezpieczeństwo całej domeny.
Techniki oznaczane jako ESC1 i ESC8 są znane społeczności bezpieczeństwa od dłuższego czasu. ESC1 odnosi się do podatnych szablonów certyfikatów, które pozwalają żądającemu wskazać tożsamość dla wystawianego certyfikatu. ESC8 dotyczy relayu NTLM do usług AD CS Web Enrollment w środowiskach bez odpowiednich mechanizmów ochronnych.
Opisana kampania pokazuje, że te scenariusze nie są jedynie materiałem badawczym lub laboratoryjnym. Zostały wykorzystane w realnych intruzjach, gdzie początkowy dostęp uzyskany przez podszycie się pod help desk stał się punktem wyjścia do przejęcia tożsamości domenowych.
Analiza techniczna
Łańcuch ataku rozpoczynał się od kontaktu z użytkownikiem przez zewnętrzne tenanty Teams o nazwach sugerujących wsparcie techniczne. Po wzbudzeniu zaufania ofiara była instruowana, aby uruchomić Quick Assist i odczytać kod połączenia. W efekcie atakujący uzyskiwał pełną, interaktywną kontrolę nad pulpitem.
Następnie operatorzy dostarczali na host archiwum z komponentami wykonawczymi i rozpakowywali je do katalogów użytkownika. Do uruchamiania skryptów wykorzystywano przenośne środowiska, takie jak Python, Bun czy Java. Taka metoda utrudnia wykrycie, ponieważ działania mogą wyglądać jak użycie legalnych narzędzi, a nazwy plików można łatwo zmieniać.
Po wdrożeniu narzędzi napastnicy prowadzili rekonesans systemu i sieci. Sprawdzali konfigurację hosta, aktywne procesy, elementy infrastruktury domenowej oraz możliwości nadużyć związanych z AD CS.
W pierwszym przypadku zidentyfikowano podatny szablon certyfikatu typu ESC1. Pozwalał on kontu o niskich uprawnieniach wystąpić o certyfikat reprezentujący konto uprzywilejowane. Po uzyskaniu certyfikatów dla kont o wysokich uprawnieniach atakujący zalogowali się do kontrolera domeny i uruchomili DCSync, czyli operację pobrania danych uwierzytelniających z Active Directory.
W dalszej fazie jeden z przejętych uprzywilejowanych kont nie został objęty automatycznym containmentem. To umożliwiło dostęp do serwera plików oraz użycie przemianowanej wersji narzędzia do synchronizacji danych w celu przesłania plików na zewnętrzny serwer SFTP.
Drugi scenariusz przebiegał inaczej. Ponieważ w środowisku nie było dostępnego szablonu podatnego na ESC1, napastnik wykorzystał technikę PetitPotam, aby wymusić uwierzytelnienie kontrolera domeny. Następnie uwierzytelnienie NTLM zostało zrelayowane do usługi AD CS Web Enrollment, co odpowiada scenariuszowi ESC8. W rezultacie wystawiono certyfikat dla konta maszyny kontrolera domeny, a później wykorzystano uwierzytelnianie certyfikatowe Kerberos PKINIT do uzyskania biletu TGT.
Najważniejszy aspekt techniczny polega na tym, że certyfikat uwierzytelniający może pozostać użyteczny nawet po resecie hasła lub odbudowie zainfekowanej stacji roboczej. To sprawia, że nadużycia AD CS są szczególnie niebezpieczne i trudniejsze do pełnego usunięcia niż klasyczne przejęcie poświadczeń.
Konsekwencje / ryzyko
Ryzyko operacyjne jest bardzo wysokie, ponieważ atak łączy zgodę użytkownika na zdalną sesję, wykorzystanie legalnych narzędzi systemowych oraz zaufaną infrastrukturę certyfikatów. Takie działania mogą omijać część klasycznych mechanizmów wykrywania skupionych wyłącznie na malware.
- Przejęcie kont uprzywilejowanych.
- Uzyskanie trwałego dostępu do domeny.
- Możliwość wykonania DCSync i pozyskania poświadczeń.
- Ruch boczny w środowisku.
- Eksfiltracja danych do zewnętrznych lokalizacji.
- Utrzymanie dostępu nawet po zmianie haseł.
Szczególnie groźny jest fakt, że certyfikat wystawiony dla konta uprzywilejowanego lub dla kontrolera domeny może stać się długotrwałą ścieżką uwierzytelniania. W praktyce oznacza to, że organizacja może usunąć pierwotny punkt wejścia, a mimo to pozostawić atakującemu możliwość powrotu.
Rekomendacje
Organizacje powinny zacząć od uszczelnienia procesów wsparcia IT. Każda nieoczekiwana prośba o udostępnienie ekranu, uruchomienie Quick Assist lub przekazanie kodu sesji powinna być weryfikowana niezależnym kanałem wewnętrznym. Warto również ograniczyć kontakt użytkowników z zewnętrznych tenantów Teams oraz jasno określić, które narzędzia zdalnego wsparcia są dopuszczone.
Drugim filarem obrony musi być audyt AD CS. Należy przeanalizować wszystkie szablony certyfikatów pod kątem zbyt szerokich uprawnień enrolmentu, możliwości wskazywania tożsamości przez żądającego oraz użycia certyfikatów do uwierzytelniania. Szablony spełniające warunki nadużyć ESC1 powinny zostać przeprojektowane lub wycofane.
W przypadku AD CS Web Enrollment należy stosować HTTPS, włączyć Extended Protection for Authentication oraz tam, gdzie to możliwe, ograniczyć lub wyłączyć NTLM. To podstawowe środki zmniejszające ryzyko relayu w scenariuszach typu ESC8.
Z perspektywy monitoringu warto zwracać szczególną uwagę na:
- nietypowe uruchomienia Quick Assist,
- sesje inicjowane po kontakcie z zewnętrznych tenantów Teams,
- uruchamianie przenośnych runtime’ów z katalogów użytkownika,
- nagłe żądania certyfikatów dla kont uprzywilejowanych,
- użycie PKINIT,
- aktywność DCSync,
- narzędzia wykorzystywane do transferu danych.
W procedurach reagowania trzeba pamiętać, że samo unieważnienie certyfikatu może nie zakończyć incydentu. Konieczna jest równoległa analiza aktywnych sesji, biletów Kerberos oraz wszystkich kont wyłączonych z automatycznych polityk containmentu.
Podsumowanie
Opisana kampania jest wyraźnym sygnałem ostrzegawczym dla organizacji korzystających z Microsoft Teams i środowisk Active Directory. Punktem wejścia nie była podatność w komunikatorze, lecz skuteczna socjotechnika wykorzystująca zaufanie do firmowego wsparcia IT.
Kluczowy wniosek jest prosty: AD CS należy traktować jako krytyczny element bezpieczeństwa domeny. Błędnie skonfigurowane szablony certyfikatów, słabo chronione endpointy Web Enrollment oraz niekontrolowane procesy zdalnego wsparcia mogą razem stworzyć prostą drogę od pojedynczej rozmowy w Teams do przejęcia infrastruktury i kradzieży danych.
Źródła
- Attackers Pose as IT Support on Microsoft Teams, Abuse AD CS to Steal Company Data — https://thehackernews.com/2026/11/attackers-pose-as-it-support-on.html
- From help desk impersonation to AD CS abuse: Investigating ESC1 and ESC8 intrusion paths — https://www.microsoft.com/en-us/security/blog/2026/10/30/help-desk-impersonation-ad-cs-abuse-investigating-esc1-esc8-intrusion-paths/
- KB5005413: Mitigating NTLM Relay Attacks on Active Directory Certificate Services (AD CS) — https://support.microsoft.com/en-us/servicing/os/windows-server/2021/07/kb5005413-mitigating-ntlm-relay-attacks-on-active-directory-certificate-services-ad-cs
- Certificates security posture assessment in Microsoft Defender for Identity — https://learn.microsoft.com/en-us/defender-for-identity/security-posture-assessments/certificates
- Certified Pre-Owned — https://specterops.io/blog/2021/06/17/certified-pre-owned/