תמיכת IT מזויפת ב-Teams ואחר כך תעודות דומיין: Microsoft מפרטת שתי חדירות דרך AD CS

‏Microsoft חקרה שתי חדירות שהחלו בטכנאים מזויפים ב-Teams והמשיכו בניצול לרעה של Active Directory Certificate Services. באחד המקרים הובילו תעודות של חשבונות מורשים לגניבת נתונים משרת קבצים. לא נוצלה פגיעות ב-Teams: הספיקו עובד ששוכנע ותצורת AD CS לא בטוחה.

מה קרה

בדוח מ-30 באוקטובר 2026 מתארת Microsoft Threat Intelligence שתי חדירות שבוצעו בידי מפעילים אנושיים בארגונים שלא נמסרו שמותיהם. שתיהן החלו באותו אופן: הודעות ושיחות ב-Teams מחשבונות שהתחזו לדלפק התמיכה, כדי לשכנע עובדים לפתוח הפעלה של Quick Assist או כלי דומה. לדברי Microsoft לא נוצלה פגיעות ב-Teams, והיא אינה מייחסת את הפעילות לגורם מסוים.

כיצד התוקפים חדרו

המקרה הראשון (ESC1). גל ראשון כוון לשלושה משתמשים ופרץ לתחנת עבודה אחת. תבנית תעודה שהוגדרה בצורה שגויה סיפקה לתוקף תעודות לשלושה חשבונות בעלי הרשאות גבוהות. כ-90 דקות לאחר שיבוש ההפעלה הראשונה, גל שני כוון ל-16 משתמשים והניב תעודות לשמונה חשבונות מורשים נוספים. שניות אחרי שהשיג אחת מהן, התוקף הזדהה מול בקר דומיין והחל DCSync. חשבון מורשה אחד הוחרג מהתגובה האוטומטית: דרכו הגיע התוקף לשרת קבצים, שממנו שלח עותק של Rclone ששונה שמו נתונים ליעד SFTP חיצוני.

המקרה השני (ESC8). ‏PetitPotam אילץ בקר דומיין להזדהות מול מערכת שבשליטת התוקף. הזדהות זו הועברה לרישום האינטרנטי של AD CS, וכך הושגו תעודה ולאחר מכן כרטיס Kerberos לחשבון הבקר. הלקוח בודד את התחנה לאחר ההתראות, ו-Microsoft לא הבחינה בהתקדמות נוספת.

מה לעשות עכשיו

1. הגבילו את Teams ואת התמיכה מרחוק: צמצמו דומיינים חיצוניים, אפשרו רק כלי תמיכה מאושרים ואמתו כל פנייה יזומה של תמיכה בערוץ פנימי מוכר.
2. בדקו את תבניות התעודות: הריצו certutil -v -template וחפשו CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT בתבניות המאפשרות הזדהות. כבו את האפשרות Supply in the request, הגבילו את הרשאות הרישום או דרשו אישור מנהל.
3. אבטחו את הרישום האינטרנטי: מפו את נקודות הקצה של Web Enrollment ושל Certificate Enrollment Web Service והסירו את המיותרות. בשאר, חייבו HTTPS והגדירו את Extended Protection for Authentication כ-Required, לפי KB5005413, ואז הריצו iisreset /restart.
4. הפעילו ביקורת ברשות האישורים לבקשות ולהנפקות. בטלו תעודות לא לגיטימיות ובדקו גם כרטיסי Kerberos: הביטול אינו מבטל כרטיסים שכבר הונפקו.
5. בחנו את ההחרגות מהבלימה: כל חשבון שמחוץ לתגובה האוטומטית זקוק לאחראי מוגדר ולפעולה ידנית.

הדעה שלנו

הפישינג מסביר את הכניסה, אך הגדרות התעודות מסבירות את המהירות: תחנה אחת הספיקה כדי להגיע לחשבונות ברמת הדומיין. ‏AD CS מותקן לעתים קרובות פעם אחת ונשכח, אף שהוא ראוי לאותה הגנה כמו בקר דומיין. בדיקה של תבניות ושל נקודות רישום לוקחת מעט זמן, וכדאי לבצע אותה לפני אירוע.

מקורות

• Microsoft Security Blog — From help desk impersonation to AD CS abuse: Investigating ESC1 and ESC8 intrusion paths
• Microsoft Support — KB5005413: Mitigating NTLM relay attacks on Active Directory Certificate Services
• Microsoft Learn — Certificates security posture assessment in Defender for Identity
• SpecterOps — Certified Pre-Owned
• The Hacker News — Attackers Pose as IT Support on Microsoft Teams, Abuse AD CS to Steal Company Data

איך אנחנו בוחרים, מאמתים וכותבים את הניתוחים שלנו ←