Minacce · 6 ore fa
Microsoft ha ricostruito due intrusioni iniziate con l’impersonificazione del supporto IT su Teams e l’accesso remoto concesso tramite Quick Assist, poi proseguite con due diversi abusi di Active Directory Certificate Services (AD CS).
In un caso, una configurazione ESC1 ha permesso di ottenere certificati per account privilegiati; nell’altro, PetitPotam ha agevolato il relay NTLM verso Web Enrollment (ESC8) per ottenere un certificato del controller di dominio. Un certificato di autenticazione permette di accedere come quell’identità senza usare la relativa password: la sessione di assistenza può quindi diventare un accesso alle infrastrutture di dominio.
Microsoft riferisce che, in uno dei casi, un’identità privilegiata esclusa dal contenimento automatico è rimasta utilizzabile e ha poi consentito l’esfiltrazione di dati; nel secondo, dopo l’isolamento della workstation, non è stata osservata ulteriore progressione. Gli alert sulla sessione remota, da soli, non descrivono necessariamente l’accesso persistente ottenuto tramite AD CS.
1 fonte che coprono questa storia
Teams support impersonation led to remote access, malicious runtime execution, and Certificate Services abuse through authentication relay and Kerberos.
Riepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-10-30