Falscher IT-Support in Teams, dann Domänenzertifikate: Microsoft beschreibt zwei Angriffe über AD CS

Microsoft hat zwei Angriffe untersucht, die mit falschen IT-Mitarbeitern in Teams begannen und anschließend die Active Directory-Zertifikatdienste missbrauchten. In einem Fall führten Zertifikate für privilegierte Konten zum Datendiebstahl auf einem Dateiserver. Eine Teams-Schwachstelle wurde nicht ausgenutzt: Es genügten überredete Beschäftigte und eine unsichere AD-CS-Konfiguration.

Was geschah

In einem Bericht vom 30. Oktober 2026 beschreibt Microsoft Threat Intelligence zwei von Menschen gesteuerte Angriffe auf nicht genannte Organisationen. Beide begannen gleich: mit Teams-Nachrichten und -Anrufen von Konten, die sich als Helpdesk ausgaben und Beschäftigte dazu brachten, eine Quick-Assist-Sitzung oder ein ähnliches Fernwartungstool zu öffnen. Laut Microsoft wurde keine Teams-Schwachstelle ausgenutzt; einem bestimmten Akteur schreibt das Unternehmen die Aktivität nicht zu.

Wie die Angreifer vorgingen

Erster Fall (ESC1). Eine erste Welle richtete sich gegen drei Benutzer und kompromittierte einen Arbeitsplatzrechner. Über eine falsch konfigurierte Zertifikatvorlage erhielt der Angreifer Zertifikate für drei hochprivilegierte Konten. Etwa 90 Minuten nach Unterbrechung der ersten Sitzung traf eine zweite Welle 16 Benutzer und brachte Zertifikate für acht weitere privilegierte Konten. Sekunden nach dem Erhalt eines Zertifikats meldete sich der Angreifer an einem Domänencontroller an und startete einen DCSync. Ein privilegiertes Konto war von der automatischen Reaktion ausgenommen: Darüber gelangte er auf einen Dateiserver, von dem eine umbenannte Rclone-Kopie Daten an ein externes SFTP-Ziel übertrug.

Zweiter Fall (ESC8). PetitPotam zwang einen Domänencontroller, sich bei einem vom Angreifer kontrollierten System anzumelden. Diese Anmeldung wurde an die AD-CS-Webregistrierung weitergeleitet, was ein Zertifikat und dann ein Kerberos-Ticket für das Controller-Konto einbrachte. Der Kunde isolierte den Rechner nach den Warnungen; laut Microsoft kam der Angriff danach nicht weiter.

Was jetzt zu tun ist

1. Teams und Fernwartung einschränken: externe Domänen begrenzen, nur freigegebene Support-Tools zulassen und unaufgeforderte Support-Anfragen über einen bekannten internen Kanal bestätigen lassen.
2. Zertifikatvorlagen prüfen: certutil -v -template ausführen und bei Vorlagen, die Authentifizierung erlauben, nach CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT suchen. Die Option In Anforderung angeben deaktivieren, Registrierungsrechte einschränken oder eine Genehmigung durch den Manager verlangen.
3. Webregistrierung absichern: Endpunkte von Web Enrollment und Certificate Enrollment Web Service erfassen und unnötige entfernen. Bei den übrigen HTTPS erzwingen und den erweiterten Schutz für die Authentifizierung (EPA) laut KB5005413 auf „Erforderlich“ setzen, danach iisreset /restart ausführen.
4. CA-Überwachung aktivieren für Zertifikatanforderungen und -ausstellungen. Unrechtmäßige Zertifikate widerrufen und auch die Kerberos-Tickets prüfen: Der Widerruf macht bereits ausgestellte Tickets nicht ungültig.
5. Ausnahmen bei der Eindämmung prüfen: Jedes von der automatischen Reaktion ausgenommene Konto braucht eine zuständige Person und eine manuelle Maßnahme.

Unsere Einschätzung

Phishing erklärt den Einstieg, die Zertifikatseinstellungen erklären das Tempo: Ein einziger Rechner genügte, um Konten auf Domänenebene zu erreichen. AD CS wird oft einmal installiert und dann vergessen, obwohl es denselben Schutz verdient wie ein Domänencontroller. Eine Prüfung von Vorlagen und Registrierungsendpunkten kostet wenig Zeit und sollte vor einem Vorfall erfolgen.

Quellen

• Microsoft Security Blog — From help desk impersonation to AD CS abuse: Investigating ESC1 and ESC8 intrusion paths
• Microsoft Support — KB5005413: Mitigating NTLM relay attacks on Active Directory Certificate Services
• Microsoft Learn — Certificates security posture assessment in Defender for Identity
• SpecterOps — Certified Pre-Owned
• The Hacker News — Attackers Pose as IT Support on Microsoft Teams, Abuse AD CS to Steal Company Data

Wie wir unsere Analysen auswählen, prüfen und schreiben →