Los atacantes abusan de AD CS y la ingeniería social en Teams para robar datos

Microsoft ha detallado dos incidentes de seguridad separados en los que actores de amenazas se hicieron pasar por personal interno de soporte técnico de TI en Microsoft Teams para obtener el control remoto de las estaciones de trabajo de los empleados. Al explotar configuraciones incorrectas de Active Directory Certificate Services (AD CS), los atacantes emitieron certificados de inicio de sesión fraudulentos para cuentas privilegiadas, lo que les permitió eludir los controles de autenticación estándar y exfiltrar datos de la empresa en un caso.

Qué sucedió

Las intrusiones comenzaron con una campaña de ingeniería social en lugar de una explotación técnica de vulnerabilidades de software. Los atacantes contactaron a los empleados a través de Microsoft Teams, utilizando inquilinos externos con nombres diseñados para imitar roles de mesa de ayuda interna o soporte de TI. Convencieron a las víctimas de usar Quick Assist, una herramienta integrada de soporte remoto de Windows, pidiéndoles que leyeran en voz alta los códigos de conexión. Esto otorgó a los atacantes control directo y operativo sobre la máquina de la víctima.

Una vez dentro, los atacantes desplegaron scripts de acceso inicial disfrazados como actualizaciones de Windows. Estos scripts se ejecutaban utilizando entornos de ejecución portables como Python, Bun o Java, lo que dificultaba su detección solo por nombre de archivo. El objetivo principal no era solo el acceso a la estación de trabajo, sino aprovechar ese acceso para interactuar con la infraestructura de certificados de la organización. AD CS emite los certificados digitales que los usuarios y equipos presentan para probar su identidad durante el inicio de sesión. Si este sistema está mal configurado, un atacante puede solicitar certificados que le otorguen los privilegios de cuentas de alto valor, como los controladores de dominio.

En el primer caso, los atacantes explotaron una debilidad de plantilla conocida como ESC1, que les permitía especificar la identidad de la cuenta en la solicitud del certificado. Obtuvieron certificados para múltiples cuentas privilegiadas. Aunque Microsoft Defender interrumpió automáticamente la mayoría de estas identidades, una cuenta privilegiada fue excluida de la respuesta automática. Los atacantes utilizaron este acceso restante para ejecutar DCSync, una herramienta que copia hashes de contraseñas desde Active Directory, y posteriormente usaron Rclone para mover datos a un servidor SFTP externo. En el segundo caso, los atacantes utilizaron una técnica llamada PetitPotam para forzar a un controlador de dominio a autenticarse en su máquina, retransmitiendo esa credencial para obtener un certificado para el propio controlador de dominio. Este intento fue contenido después de que el cliente aislara la estación de trabajo comprometida.

Detalles clave

• Los atacantes utilizaron ingeniería social en Microsoft Teams para engañar a los usuarios y hacer que compartieran el control remoto mediante Quick Assist.
• No se explotó ninguna falla de software; los ataques dependían de configuraciones inseguras de AD CS y manipulación de usuarios.
• En el primer incidente, una cuenta privilegiada excluida permitió a los atacantes eludir la contención automática y exfiltrar datos.
• Los atacantes utilizaron técnicas ESC1 y ESC8 para emitir certificados para cuentas altamente privilegiadas y controladores de dominio.
• Microsoft Defender bloqueó más de 1.000 intentos de inicio de sesión posteriores en el primer caso, pero la contención parcial dejó una vía de ataque viable.
• Las versiones más recientes de Windows Server 2025 habilitan Extended Protection for Authentication (EPA) por defecto, reduciendo la exposición a ataques ESC8.

Antecedentes

Active Directory Certificate Services (AD CS) es un rol de servidor de Windows que gestiona la infraestructura de clave pública (PKI) de una organización. Emite certificados digitales que verifican la identidad de usuarios, equipos y servicios. Cuando está configurado de forma segura, es un mecanismo de autenticación robusto. Sin embargo, ciertas configuraciones incorrectas, como las etiquetadas como ESC1 y ESC8 por los investigadores, pueden permitir a los atacantes abusar del sistema. ESC1 permite a un usuario con pocos privilegios solicitar un certificado para cualquier otra cuenta, escalando efectivamente sus privilegios. ESC8 implica retransmitir la autenticación NTLM a la página de inscripción web de AD CS para obtener un certificado sin conocer la contraseña.

Estas vulnerabilidades no son nuevas; fueron divulgadas en 2021. Sin embargo, requieren cambios proactivos de configuración para mitigarlas. A diferencia de un error de software que se puede corregir con un parche, estos problemas surgen de cómo los administradores configuran las plantillas de certificados y las políticas de inscripción. Si un atacante obtiene un certificado válido para una cuenta privilegiada, ese certificado permanece válido incluso si se restablece la contraseña de la cuenta o se borra la máquina original comprometida, proporcionando acceso persistente.

Por qué importa

Para los equipos que gestionan su propia infraestructura, especialmente aquellos que dependen de Windows Server y Active Directory, este informe destaca una brecha crítica entre la defensa automatizada y la configuración manual. Herramientas automatizadas como Microsoft Defender pueden detectar e interrumpir muchos vectores de ataque, pero dependen de reglas predefinidas. Si un administrador excluye explícitamente una cuenta de las políticas de contención automática, quizás para evitar interrumpir un servicio crítico, esa decisión puede crear un punto ciego. Los atacantes buscan activamente estas excepciones, como se vio en el primer caso donde una sola cuenta excluida habilitó un robo significativo de datos.

Además, la dependencia de la ingeniería social subraya que los controles técnicos por sí solos son insuficientes. Incluso con una segmentación de red robusta y protección de endpoints, un solo empleado engañado para conceder acceso remoto puede eludir las defensas perimetrales. El uso de herramientas legítimas como Quick Assist y entornos de ejecución portables hace que estas actividades sean más difíciles de distinguir del trabajo administrativo normal. Por lo tanto, las organizaciones deben equilibrar el endurecimiento técnico de AD CS con estrictos controles procedimentales para las solicitudes de soporte remoto.

Qué puedes hacer

• Verifica todas las solicitudes de soporte inesperadas a través de un canal interno conocido y separado antes de conceder acceso remoto o compartir pantallas.
• Restringe qué inquilinos externos de Microsoft Teams pueden contactar a tus empleados y limita las herramientas de soporte remoto solo a aplicaciones aprobadas.
• Audita las plantillas de certificados de AD CS para eliminar los derechos de inscripción de usuarios que no los necesitan y deshabilita las plantillas que permiten a los solicitantes especificar el nombre del sujeto.
• Habilita Extended Protection for Authentication (EPA) en los endpoints de inscripción web de AD CS y deshabilita NTLM cuando sea posible para prevenir ataques ESC8.
• Implementa auditorías de certificados y asegúrate de que cualquier cuenta excluida de la contención automática tenga un proceso de monitoreo manual correspondiente.
• Revisa los tickets activos de Kerberos por separado al revocar certificados, ya que la revocación no invalida automáticamente los tickets existentes.