Angreifer missbrauchen AD CS und Social Engineering über Teams, um Daten zu stehlen

Microsoft hat Details zu zwei separaten Sicherheitsvorfällen veröffentlicht, bei denen Bedrohungsakteure sich im Microsoft Teams-Chat als interne IT-Support-Mitarbeiter ausgaben, um die Fernsteuerung von Mitarbeiter-Arbeitsplätzen zu übernehmen. Durch Ausnutzung falsch konfigurierter Active Directory Certificate Services (AD CS) stellten die Angreifer betrügerische Anmeldezertifikate für privilegierte Konten aus. Dies ermöglichte es ihnen, Standard-Authentifizierungskontrollen zu umgehen und in einem Fall Unternehmensdaten abzuziehen.

Was passiert ist

Die Eindringversuche begannen mit einer Social-Engineering-Kampagne statt mit einem technischen Exploit von Software-Schwachstellen. Die Angreifer kontaktierten Mitarbeiter über Microsoft Teams unter Verwendung externer Mandanten mit Namen, die darauf ausgelegt waren, interne Helpdesk- oder IT-Support-Rollen nachzuahmen. Sie überzeugten die Zielgruppen davon, Quick Assist zu nutzen, ein integriertes Windows-Fernwartungstool, indem sie sie aufforderten, Verbindungscodes vorzulesen. Dies verschaffte den Angreifern direkte Kontrolle über den Rechner des Opfers.

Nach dem Eindringen setzten die Angreifer Skripte für den Erstzugriff ein, die als Windows-Updates getarnt waren. Diese Skripte liefen unter Verwendung portabler Runtimes wie Python, Bun oder Java, was die Erkennung allein anhand des Dateinamers erschwerte. Das primäre Ziel war nicht nur der Zugriff auf den Arbeitsplatz, sondern die Nutzung dieses Zugriffs zur Interaktion mit der Zertifikatsinfrastruktur der Organisation. AD CS stellt digitale Zertifikate aus, die Benutzer und Computer beim Login vorlegen, um ihre Identität nachzuweisen. Ist dieses System schlecht konfiguriert, kann ein Angreifer Zertifikate anfordern, die ihm die Berechtigungen von Hochwertkonten, wie z. B. Domänencontrollern, verleihen.

Im ersten Fall nutzten die Angreifer eine Vorlagenschwäche aus, die als ESC1 bekannt ist. Diese erlaubte es ihnen, die Kontoidentität im Zertifikatantrag selbst zu spezifizieren. Sie erhielten Zertifikate für mehrere privilegierte Konten. Während Microsoft Defender die meisten dieser Identitäten automatisch blockierte, war ein privilegiertes Konto von der automatischen Reaktion ausgeschlossen. Die Angreifer nutzten diesen verbleibenden Zugang, um DCSync auszuführen, ein Tool, das Passwort-Hashes aus Active Directory kopiert, und verwendeten anschließend Rclone, um Daten auf einen externen SFTP-Server zu übertragen. Im zweiten Fall wandten die Angreifer eine Technik namens PetitPotam an, um einen Domänencontroller dazu zu zwingen, sich bei ihrem Rechner zu authentifizieren. Sie leiteten diese Anmeldedaten weiter, um ein Zertifikat für den Domänencontroller selbst zu erhalten. Dieser Versuch wurde eingedämmt, nachdem der Kunde den kompromittierten Arbeitsplatz isoliert hatte.

Wichtige Details

• Angreifer nutzten Social Engineering über Microsoft Teams, um Nutzer dazu zu bringen, die Fernsteuerung via Quick Assist zu gewähren.
• Es wurde keine Software-Schwachstelle ausgenutzt; die Angriffe basierten auf unsicheren AD CS-Konfigurationen und Manipulation der Nutzer.
• Im ersten Vorfall ermöglichte ein vom automatischen Containment ausgeschlossenes privilegiertes Konto den Angreifern, die automatische Eindämmung zu umgehen und Daten zu exfiltrieren.
• Die Angreifer nutzten die Techniken ESC1 und ESC8, um Zertifikate für hochprivilegierte Konten und Domänencontroller auszustellen.
• Microsoft Defender blockierte im ersten Fall über 1.000 weitere Anmeldeversuche, aber das teilweise Containment ließ einen funktionierenden Angriffspfad bestehen.
• Neuere Versionen von Windows Server 2025 aktivieren Extended Protection for Authentication (EPA) standardmäßig, was die Anfälligkeit für ESC8-Angriffe reduziert.

Hintergrund

Active Directory Certificate Services (AD CS) ist eine Windows-Serverrolle, die die Public-Key-Infrastruktur (PKI) einer Organisation verwaltet. Sie stellt digitale Zertifikate aus, die die Identität von Benutzern, Computern und Diensten überprüfen. Bei sicherer Konfiguration handelt es sich um einen robusten Authentifizierungsmechanismus. Bestimmte Fehlkonfigurationen, wie sie von Forschern als ESC1 und ESC8 bezeichnet werden, können es Angreifern jedoch ermöglichen, das System zu missbrauchen. ESC1 erlaubt es einem Benutzer mit niedrigen Berechtigungen, ein Zertifikat für jedes andere Konto anzufordern, was effektiv zu einer Rechteausweitung führt. ESC8 umfasst die Weiterleitung der NTLM-Authentifizierung an die AD CS-Webregistrierungsseite, um ein Zertifikat zu erhalten, ohne das Passwort zu kennen.

Diese Schwachstellen sind nicht neu; sie wurden bereits 2021 offengelegt. Allerdings erfordern sie proaktive Konfigurationsänderungen zur Abschwächung. Im Gegensatz zu einem Software-Bug, der durch einen Patch behoben werden kann, resultieren diese Probleme daraus, wie Administratoren Zertifikatsvorlagen und Registrierungsrichtlinien einrichten. Wenn ein Angreifer ein gültiges Zertifikat für ein privilegiertes Konto erhält, bleibt dieses Zertifikat gültig, selbst wenn das Kontopasswort zurückgesetzt oder der ursprünglich kompromittierte Rechner gelöscht wird, was einen persistenten Zugang gewährleistet.

Warum das wichtig ist

Für Teams, die ihre eigene Infrastruktur betreiben, insbesondere solche, die auf Windows Server und Active Directory setzen, hebt dieser Bericht eine kritische Lücke zwischen automatisierter Verteidigung und manueller Konfiguration hervor. Automatisierte Tools wie Microsoft Defender können viele Angriffsvektoren erkennen und unterbinden, verlassen sich jedoch auf vordefinierte Regeln. Wenn ein Administrator ein Konto explizit von den Richtlinien für das automatische Containment ausschließt, vielleicht um die Unterbrechung eines kritischen Dienstes zu vermeiden, kann diese Entscheidung eine Blindstelle erzeugen. Angreifer suchen aktiv nach solchen Ausnahmen, wie im ersten Fall zu sehen war, wo ein einzelnes ausgeschlossenes Konto zu erheblichem Datendiebstahl führte.

Darüber hinaus unterstreicht die Abhängigkeit von Social Engineering, dass technische Kontrollen allein nicht ausreichen. Selbst mit robuster Netzwerksegmentierung und Endpoint-Schutz kann ein einzelner Mitarbeiter, der dazu gebracht wird, Fernzugriff zu gewähren, die Perimeterverteidigungen umgehen. Die Nutzung legitimer Tools wie Quick Assist und portabler Runtimes macht es schwieriger, diese Aktivitäten von normaler administrativer Arbeit zu unterscheiden. Organisationen müssen daher die technische Härtung von AD CS mit strengen prozeduralen Kontrollen für Supportanfragen per Fernzugriff in Einklang bringen.

Was Sie tun können

• Überprüfen Sie alle unerwarteten Supportanfragen über einen bekannten, separaten internen Kanal, bevor Sie Fernzugriff gewähren oder Bildschirme teilen.
• Beschränken Sie, welche externen Microsoft Teams-Mandanten Ihre Mitarbeiter kontaktieren dürfen, und begrenzen Sie Fernwartungstools auf genehmigte Anwendungen.
• Prüfen Sie AD CS-Zertifikatsvorlagen, um Registrierungsrechte für Benutzer zu entfernen, die diese nicht benötigen, und deaktivieren Sie Vorlagen, die es Antragstellern erlauben, den Subjektnamen zu spezifizieren.
• Aktivieren Sie Extended Protection for Authentication (EPA) für AD CS-Webregistrierungs-Endpunkte und deaktivieren Sie NTLM, wo möglich, um ESC8-Angriffe zu verhindern.
• Implementieren Sie Zertifikats-Auditing und stellen Sie sicher, dass jedes Konto, das vom automatischen Containment ausgeschlossen ist, über einen entsprechenden manuellen Überwachungsprozess verfügt.
• Überprüfen Sie aktive Kerberos-Tickets separat, wenn Sie Zertifikate widerrufen, da der Widerruf vorhandene Tickets nicht automatisch ungültig macht.