W dwóch incydentach opisanych przez Microsoft, napastnicy podszywali się pod dział wsparcia technicznego w aplikacji Microsoft Teams. Poprzez rozmowy i połączenia telefoniczne nakłaniali pracowników do udostępnienia zdalnego pulpitu za pomocą narzędzia Quick Assist, co dawało im bezpośredni dostęp do stacji roboczych.
Po przejęciu kontroli nad komputerem, atakujący wykorzystywali błędy w konfiguracji usług Active Directory Certificate Services (AD CS). W pierwszym przypadku wykorzystano podatność ESC1, pozwalającą na żądanie certyfikatu dla dowolnego konta, w tym konta administratora domeny. W drugim przypadku zastosowano technikę PetitPotam (ESC8), aby wymusić uwierzytelnienie i przejąć certyfikat kontrolera domeny.
Skutki były poważne: napastnicy zdołali przeprowadzić operację DCSync w celu skopiowania danych haseł oraz wykorzystali narzędzie Rclone do wyprowadzenia danych na zewnętrzny serwer SFTP. Microsoft podkreślił, że kluczowym problemem była niepełna izolacja tożsamości podczas automatycznej reakcji systemu obronnego.
Obrona przed tymi atakami nie polega na instalowaniu łatek, lecz na poprawnej konfiguracji usług. Należy zweryfikować szablony certyfikatów pod kątem uprawnień, włączyć Extended Protection for Authentication (EPA) dla punktów końcowych AD CS oraz ograniczyć możliwość używania zewnętrznych tenantów Teams w komunikacji z pracownikami.
