Una sessione di assistenza può aprire l’accesso al dominio
Microsoft ha ricostruito due intrusioni iniziate con l’impersonificazione del supporto IT su Teams e l’accesso remoto concesso tramite Quick Assist, poi proseguite con due diversi abusi di Active Directory Certificate Services (AD CS).
In un caso, una configurazione ESC1 ha permesso di ottenere certificati per account privilegiati; nell’altro, PetitPotam ha agevolato il relay NTLM verso Web Enrollment (ESC8) per ottenere un certificato del controller di dominio. Un certificato di autenticazione permette di accedere come quell’identità senza usare la relativa password: la sessione di assistenza può quindi diventare un accesso alle infrastrutture di dominio.
Microsoft riferisce che, in uno dei casi, un’identità privilegiata esclusa dal contenimento automatico è rimasta utilizzabile e ha poi consentito l’esfiltrazione di dati; nel secondo, dopo l’isolamento della workstation, non è stata osservata ulteriore progressione. Gli alert sulla sessione remota, da soli, non descrivono necessariamente l’accesso persistente ottenuto tramite AD CS.
From help desk impersonation to AD CS abuse: Investigating ESC1 and ESC8 intrusion paths | Microsoft Security Blog
Teams support impersonation led to remote access, malicious runtime execution, and Certificate Services abuse through authentication relay and Kerberos.