Microsoft a publicat pe 30 octombrie o analiză a două intruziuni începute prin impersonarea suportului IT în Teams. După obținerea accesului la distanță, atacatorii au abuzat configurații AD CS. Într-un caz, o identitate privilegiată exceptată de la măsurile de izolare a permis continuarea atacului; în celălalt, izolarea stației a oprit progresia observată.
Raportul nu anunță o vulnerabilitate nouă în Teams. Data publicării nu este data începerii atacurilor. Lecția importantă: schimbarea parolei nu anulează automat certificatele deja emise sau tichetele de autentificare existente.
De ce contează certificatele
Active Directory Certificate Services este infrastructura prin care o organizație Windows poate emite certificate digitale. Acestea pot participa la autentificare, nu doar la protejarea conexiunilor web. Prin urmare, permisiunea de a obține un certificat pentru altă identitate poate avea consecințe mult mai mari decât pare.
Documentația Microsoft Learn explică două clase de configurații periculoase. În ESC1, anumite șabloane permit solicitantului să specifice identitatea din certificat. Riscul apare împreună cu drepturi prea largi de înscriere, utilizarea certificatului pentru autentificare și lipsa unor aprobări suplimentare. ESC8 privește serviciile web de înscriere insuficient protejate împotriva retransmiterii autentificării NTLM.
Ce pot verifica administratorii
Pentru șabloane, controalele includ restrângerea persoanelor care pot solicita certificate, eliminarea opțiunilor inutile de alegere a identității și introducerea aprobării acolo unde fluxul operațional o permite. Șabloanele nefolosite nu trebuie să rămână publicate fără justificare. Orice schimbare necesită testare înainte de producție.
Pentru endpointurile web AD CS, ghidul oficial KB5005413 recomandă Extended Protection for Authentication, preferabil în modul obligatoriu, și eliminarea HTTP în favoarea HTTPS. Criptarea conexiunii nu înlocuiește protecția EPA. Microsoft recomandă și dezactivarea NTLM unde infrastructura permite acest lucru. Ghidul este documentație de protecție existentă, nu un anunț nou de vulnerabilitate.
O regulă simplă pentru angajați
Recomandarea practică a redacției: o cerere neașteptată de acces la calculator trebuie confirmată prin canalul intern cunoscut, nu prin datele oferite de interlocutor. Companiile pot transforma această regulă într-un exercițiu scurt: cine aprobă asistența, cum este identificat tehnicianul și unde se raportează solicitarea suspectă. Un apel convingător nu este, singur, o dovadă de autorizare. Protecția utilă combină procedura umană cu verificarea tehnică, în loc să presupună că una o compensează pe cealaltă.
Imagine principală: Ilustrație generată cu AI pentru CyberJurnal; nu reprezintă un incident real.
