Tin tặc lợi dụng AD CS và kỹ thuật social engineering trên Teams để đánh cắp dữ liệu

Microsoft đã chi tiết hóa hai sự cố bảo mật riêng biệt, trong đó các nhóm đe dọa (threat actors) giả mạo nhân viên hỗ trợ IT nội bộ trên Microsoft Teams để giành quyền kiểm soát từ xa máy trạm của nhân viên. Bằng cách khai thác các cấu hình sai lệch của Active Directory Certificate Services (AD CS), tin tặc đã phát hành các chứng chỉ đăng nhập gian lận cho các tài khoản đặc quyền, cho phép chúng bỏ qua các biện pháp kiểm soát xác thực tiêu chuẩn và đánh cắp dữ liệu doanh nghiệp trong một trường hợp.

Chuyện gì đã xảy ra

Các vụ xâm nhập bắt đầu bằng một chiến dịch social engineering (kỹ thuật xã hội) thay vì khai thác lỗ hổng phần mềm. Tin tặc liên hệ với nhân viên qua Microsoft Teams, sử dụng các tenant bên ngoài có tên được thiết kế để mô phỏng vai trò của bàn trợ giúp hoặc bộ phận hỗ trợ IT nội bộ. Chúng thuyết phục mục tiêu sử dụng Quick Assist, một công cụ hỗ trợ từ xa tích hợp sẵn trong Windows, bằng cách yêu cầu họ đọc lại mã kết nối. Điều này cấp cho tin tặc quyền kiểm soát trực tiếp, thao tác thủ công trên máy của nạn nhân.

Sau khi xâm nhập, tin tặc triển khai các script truy cập ban đầu được ngụy trang dưới dạng bản cập nhật Windows. Các script này chạy bằng các runtime di động như Python, Bun hoặc Java, khiến việc phát hiện dựa trên tên tệp trở nên khó khăn. Mục tiêu chính không chỉ là truy cập vào máy trạm, mà còn tận dụng quyền truy cập đó để tương tác với cơ sở hạ tầng chứng chỉ của tổ chức. AD CS phát hành các chứng chỉ số mà người dùng và máy tính trình diện để chứng minh danh tính khi đăng nhập. Nếu hệ thống này được cấu hình kém, tin tặc có thể yêu cầu các chứng chỉ cấp cho chúng đặc quyền của các tài khoản giá trị cao, chẳng hạn như domain controller.

Trong trường hợp đầu tiên, tin tặc khai thác một điểm yếu mẫu (template weakness) được gọi là ESC1, cho phép chúng chỉ định danh tính tài khoản trong yêu cầu chứng chỉ. Chúng đã lấy được chứng chỉ cho nhiều tài khoản đặc quyền. Mặc dù Microsoft Defender tự động vô hiệu hóa hầu hết các danh tính này, nhưng một tài khoản đặc quyền đã bị loại trừ khỏi quy trình phản ứng tự động. Tin tặc sử dụng quyền truy cập còn lại này để chạy DCSync, một công cụ sao chép hash mật khẩu từ Active Directory, và sau đó dùng Rclone để chuyển dữ liệu sang một máy chủ SFTP bên ngoài. Trong trường hợp thứ hai, tin tặc sử dụng kỹ thuật gọi là PetitPotam để buộc một domain controller xác thực với máy của chúng, chuyển tiếp thông tin đăng nhập đó để lấy chứng chỉ cho chính domain controller. Nỗ lực này đã bị ngăn chặn sau khi khách hàng cô lập máy trạm bị xâm phạm.

Chi tiết quan trọng

• Tin tặc sử dụng social engineering trên Microsoft Teams để lừa người dùng chia sẻ quyền điều khiển từ xa qua Quick Assist.
• Không có lỗi phần mềm nào bị khai thác; các cuộc tấn công dựa vào cấu hình AD CS không an toàn và thao túng người dùng.
• Trong sự cố đầu tiên, một tài khoản đặc quyền bị loại trừ đã cho phép tin tặc bỏ qua quy trình cô lập tự động và đánh cắp dữ liệu.
• Tin tặc sử dụng các kỹ thuật ESC1 và ESC8 để phát hành chứng chỉ cho các tài khoản có đặc quyền cao và domain controller.
• Microsoft Defender đã chặn hơn 1.000 nỗ lực đăng nhập tiếp theo trong trường hợp đầu tiên, nhưng việc cô lập một phần vẫn để lại một đường dẫn tấn công khả thi.
• Windows Server 2025 mới hơn bật mặc định Extended Protection for Authentication (EPA), giảm thiểu rủi ro trước các cuộc tấn công ESC8.

Bối cảnh

Active Directory Certificate Services (AD CS) là một vai trò máy chủ Windows quản lý cơ sở hạ tầng khóa công khai (PKI) cho một tổ chức. Nó phát hành các chứng chỉ số để xác minh danh tính của người dùng, máy tính và dịch vụ. Khi được cấu hình an toàn, đây là một cơ chế xác thực mạnh mẽ. Tuy nhiên, các cấu hình sai cụ thể, chẳng hạn như những loại được các nhà nghiên cứu dán nhãn là ESC1 và ESC8, có thể cho phép tin tặc lạm dụng hệ thống. ESC1 cho phép một người dùng có đặc quyền thấp yêu cầu chứng chỉ cho bất kỳ tài khoản nào khác, về cơ bản leo thang đặc quyền. ESC8 liên quan đến việc chuyển tiếp xác thực NTLM tới trang đăng ký web của AD CS để lấy chứng chỉ mà không cần biết mật khẩu.

Các lỗ hổng này không phải là mới; chúng đã được công bố vào năm 2021. Tuy nhiên, chúng đòi hỏi những thay đổi cấu hình chủ động để giảm thiểu rủi ro. Khác với một lỗi phần mềm có thể được sửa bằng bản vá, các vấn đề này xuất phát từ cách quản trị viên thiết lập các mẫu chứng chỉ và chính sách đăng ký. Nếu tin tặc có được một chứng chỉ hợp lệ cho một tài khoản đặc quyền, chứng chỉ đó vẫn còn hiệu lực ngay cả khi mật khẩu tài khoản được đặt lại hoặc máy gốc bị xóa sạch, cung cấp quyền truy cập dai dẳng.

Tại sao điều này quan trọng

Đối với các đội ngũ vận hành cơ sở hạ tầng riêng, đặc biệt là những đơn vị phụ thuộc vào Windows Server và Active Directory, báo cáo này làm nổi bật khoảng trống nghiêm trọng giữa phòng thủ tự động và cấu hình thủ công. Các công cụ tự động như Microsoft Defender có thể phát hiện và phá vỡ nhiều vector tấn công, nhưng chúng dựa vào các quy tắc được định nghĩa trước. Nếu quản trị viên loại trừ rõ ràng một tài khoản khỏi chính sách cô lập tự động, có lẽ để tránh làm gián đoạn một dịch vụ quan trọng, quyết định đó có thể tạo ra một điểm mù. Tin tặc tích cực tìm kiếm những ngoại lệ này, như thấy trong trường hợp đầu tiên khi chỉ một tài khoản bị loại trừ đã cho phép đánh cắp dữ liệu đáng kể.

Hơn nữa, sự phụ thuộc vào social engineering nhấn mạnh rằng các biện pháp kiểm soát kỹ thuật đơn thuần là không đủ. Ngay cả với phân đoạn mạng mạnh mẽ và bảo vệ endpoint, một nhân viên bị lừa cấp quyền truy cập từ xa có thể bỏ qua các lớp phòng thủ biên giới. Việc sử dụng các công cụ hợp pháp như Quick Assist và các runtime di động khiến những hoạt động này khó phân biệt với công việc quản trị bình thường. Do đó, các tổ chức phải cân bằng giữa việc tăng cường kỹ thuật cho AD CS với các biện pháp kiểm soát quy trình nghiêm ngặt đối với các yêu cầu hỗ trợ từ xa.

Bạn có thể làm gì

• Xác minh tất cả các yêu cầu hỗ trợ bất ngờ thông qua một kênh nội bộ riêng biệt, đã biết trước khi cấp quyền truy cập từ xa hoặc chia sẻ màn hình.
• Hạn chế những tenant Microsoft Teams bên ngoài nào có thể liên hệ với nhân viên của bạn và giới hạn các công cụ hỗ trợ từ xa chỉ dành cho các ứng dụng được phê duyệt.
• Kiểm toán các mẫu chứng chỉ AD CS để loại bỏ quyền đăng ký cho những người dùng không cần chúng và vô hiệu hóa các mẫu cho phép người yêu cầu chỉ định tên chủ thể (subject name).
• Bật Extended Protection for Authentication (EPA) trên các endpoint đăng ký web của AD CS và tắt NTLM nếu có thể để ngăn chặn các cuộc tấn công ESC8.
• Triển khai kiểm toán chứng chỉ và đảm bảo rằng mọi tài khoản bị loại trừ khỏi quy trình cô lập tự động đều có một quy trình giám sát thủ công tương ứng.
• Xem xét các ticket Kerberos đang hoạt động riêng biệt khi thu hồi chứng chỉ, vì việc thu hồi không tự động vô hiệu hóa các ticket hiện có.