Microsoft heeft op 30 oktober een rapport gepubliceerd over twee aanvallen waarbij criminelen zich voordeden als IT-supportmedewerkers op Microsoft Teams en vervolgens kwetsbaarheden in Active Directory Certificate Services (AD CS) misbruikten om bedrijfsnetwerken over te nemen. Welke bedrijven het betreft en aan welke groep de aanvallen zijn toe te schrijven, maakt Microsoft niet bekend. Er is geen software-kwetsbaarheid in het spel: de aanvallers combineerden social engineering met verkeerd ingerichte AD CS-omgevingen.
Bij beide intrusies benaderden de aanvallers medewerkers via Teams vanuit externe tenants, met accountnamen die naar een helpdesk verwezen. Ze praatten slachtoffers om Quick Assist te openen en de verbindingscode voor te lezen, waarmee de aanvaller volledige controle over de werkplek kreeg. Daarna plaatsten ze een archief in de Downloads-map, pakten dat uit in een map die zich voordeed als een Windows-update en draaiden de inhoud via een portable Python-, Bun- of Java-runtime.
Eerste zaak: een kwetsbaar certificaattemplate
In de eerste zaak vonden de aanvallers een certificaattemplate dat kwetsbaar was voor ESC1, waarbij een aanvrager zelf mag opgeven voor welk account het certificaat geldt. De eerste golf trof 3 gebruikers en 1 werkstation en leverde certificaten op voor 3 bevoorrechte accounts. Microsoft Defender schakelde die identiteiten automatisch uit via Automatic Attack Disruption, maar één bevoorrecht account was van die automatische respons uitgesloten en bleef bruikbaar. Ongeveer 90 minuten later volgde een tweede golf, gericht op 16 gebruikers en een tweede werkstation, die certificaten opleverde voor nog eens 8 bevoorrechte accounts. Meer dan 1.000 latere pogingen om bestanden over SMB te benaderen of in te loggen werden geblokkeerd.
Binnen enkele seconden na het verkrijgen van een certificaat logde de aanvaller in op een domeincontroller en startte een DCSync-operatie; de ingezette containment beperkte hoeveel gegevens daarbij werden gerepliceerd. Via het uitgesloten account bereikte de aanvaller vervolgens een bestandsserver en gebruikte een hernoemde kopie van het tool Rclone om data naar een externe SFTP-server te sluizen. Hoeveel data precies is buitgemaakt, maakt Microsoft niet bekend, maar het bedrijf concludeert dat partiële identity containment aanvalsactiviteit kan beperken terwijl er toch een werkbare bevoorrechte route overblijft.
Tweede zaak: ESC8 via PetitPotam
De tweede intrusie verliep anders. Hier misbruikte de aanvaller PetitPotam om een domeincontroller te dwingen te authenticeren naar een machine onder zijn controle. Die NTLM-aanmelding werd doorgestuurd naar de AD CS-webregistratiepagina (ESC8), zonder dat een wachtwoord nodig was, om een certificaat voor de domeincontroller aan te vragen. Met dat certificaat en Kerberos PKINIT verkreeg de aanvaller een ticket-granting ticket voor de domeincontroller zelf. Defender sloeg hier wel alarm op ESC8, de klant isoleerde het werkstation en verdere activiteit bleef uit.
Het verschil tussen beide zaken is veelzeggend: in de eerste zaak hield het uitgesloten account de aanval in leven, in de tweede volstond het isoleren van één werkstation om de aanval direct te stoppen.
Microsoft benadrukt dat de technieken niet nieuw zijn. ESC1 en ESC8 werden al in 2021 door onderzoeksbureau SpecterOps beschreven en ook PetitPotam is uit dat jaar. Extended Protection for Authentication (EPA) op AD CS-webregistratie staat wel standaard aan in Windows Server 2025, maar moet op Server 2022 en 2019 nog altijd handmatig worden ingeschakeld.
Voor Nederlandse IT-afdelingen is dit een directe aanleiding om twee dingen te checken. Zorg dat medewerkers weten dat een onverwacht supportverzoek via Teams altijd eerst bij de eigen IT-afdeling moet worden geverifieerd voordat ze schermdeling of Quick Assist toestaan, en beperk welke externe Teams-tenants contact mogen opnemen. Controleer daarnaast of certificaattemplates in de eigen AD CS-omgeving kwetsbaar zijn voor ESC1 of ESC8, zet EPA aan op webregistratie-endpoints en schakel NTLM daar waar mogelijk uit. Een kwetsbare AD CS-configuratie blijft vaak jarenlang onopgemerkt, terwijl het voor een aanvaller een van de snelste routes naar domain-admin-rechten is.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.