Saldırganlar Teams'te IT destek kılığına girip AD CS'yi istismar ederek ayrıcalıklı erişim aldı

Microsoft Teams üzerinden bir şirketin IT yardım masası kılığına giren saldırganlar, çalışanları iş istasyonlarının uzaktan kontrolünü vermeye kandırdı; ardından güvensiz biçimde yapılandırılmış Active Directory Sertifika Hizmetleri'ni (AD CS) istismar ederek ayrıcalıklı hesaplar için sertifika üretti. The Hacker News'in özetlediği Microsoft raporu bu bilgileri ortaya koyuyor. Microsoft bulgularını 30 Ekim 2026'da yayımladı ve iki ayrı saldırıyı anlattı.

Neler oldu?

The Hacker News'in aktardığı Microsoft'a göre saldırganlar, destek temalı adlar kullanan harici Teams kiracıları üzerinden çalıştı. Şirketin IT veya yardım masası olduklarını iddia ederek çalışanlara mesaj attı ve onları aradı; her kullanıcıyı, yerleşik Windows uzaktan yardım aracı Quick Assist'i açıp bağlantı kodunu geri okumaya ikna ettiler. Bu, saldırgana iş istasyonunun doğrudan kontrolünü verdi. Daha sonra Downloads klasörüne bir arşiv bıraktılar, bunu Windows güncellemesi gibi görünen bir klasöre çıkardılar ve taşınabilir bir Python, Bun veya Java çalışma zamanıyla çalıştırdılar. Microsoft, saldırıların Teams'in kendisinde bir açığı istismar etmediğini, sosyal mühendislik ile güvensiz AD CS yapılandırmasına dayandığını söyledi.

Teknik detaylar

Microsoft'a göre AD CS, oturum açmada kullanılan sertifikaları verir ve yanlış yapılandırılmış bir şablondan alınan sertifika, sahibinin adını taşıdığı hesap olarak oturum açmasına izin verir. Kritik olan nokta, böyle bir sertifikanın parola sıfırlansa veya makine silinse bile çalışmaya devam etmesidir. İlk vakada şablon, talep edeni hesabı adlandırmaya izin veriyordu (ESC1 olarak bilinen zafiyet); bu da düşük yetkili bir kullanıcının ayrıcalıklı hesaplar için sertifika talep etmesini sağladı. İkincisinde saldırgan, bir etki alanı denetleyicisini saldırganın kontrolündeki bir makineye kimlik doğrulatmaya zorlamak için PetitPotam kullandı, bu oturum açmayı AD CS web kayıt sayfasına aktararak etki alanı denetleyicisi için bir sertifika elde etti (ESC8 zafiyeti) ve PKINIT ile onun için bir bilet verme bileti (TGT) aldı.

İlk saldırıda ilk dalga üç ayrıcalıklı hesap için sertifika üretti; Microsoft Defender'ın otomatik saldırı kesintisi bu kimlikleri devre dışı bıraktı, ancak bir hesap otomatik yanıttan hariç tutulmuştu ve kullanılabilir kaldı. Yaklaşık 90 dakika sonra daha büyük bir dalga, sekiz ayrıcalıklı hesap için daha sertifika üretti; Microsoft, SMB üzerinden dosyalara ulaşma veya oturum açma yönündeki 1.000'den fazla sonraki girişimin engellendiğini belirtti. Saldırgan bir etki alanı denetleyicisinde oturum açtı ve çevreleme çoğaltmayı sınırlamadan önce DCSync başlattı; ardından hariç tutulan hesabı kullanarak bir dosya sunucusuna ulaştı ve yeniden adlandırılmış bir Rclone kopyasıyla veriyi dış bir SFTP sunucusuna taşıdı. İkinci vakada Defender ESC8 uyarıları verdi, müşteri iş istasyonunu izole etti ve Microsoft başka bir faaliyet olmadığını söyledi.

Kimler etkileniyor?

The Hacker News'e göre Microsoft, faaliyeti bilinen bir gruba atfetmedi ve etkilenen iki kuruluşu adlandırmadı. Temeldeki ESC1 ve ESC8 zafiyetleri ile PetitPotam tekniği 2021'de adlandırılmıştı; bu da uzun süredir AD CS yanlış yapılandırmaları bulunan kuruluşların hâlâ açıkta olduğu anlamına geliyor.

Ne yapmalı?

Microsoft; ekran paylaşmadan veya uzaktan kontrol vermeden önce beklenmeyen destek taleplerinin bilinen bir iç kanaldan doğrulanmasını, hangi harici Teams kiracılarının çalışanlara ulaşabileceğinin sınırlandırılmasını ve yalnızca onaylı uzaktan destek araçlarına izin verilmesini öneriyor. AD CS için, talep edenin hesabı adlandırmasına izin veren veya çok fazla kullanıcının kaydolabildiği sertifika şablonlarının gözden geçirilmesini, web kayıt uç noktalarında HTTPS zorunlu kılınmasını ve Kimlik Doğrulama için Genişletilmiş Koruma'nın (EPA) etkinleştirilmesini, mümkün olan yerlerde NTLM'nin devre dışı bırakılmasını ve sertifika denetiminin açılmasını tavsiye ediyor. Kötü bir sertifikayı iptal etmek, zaten verilmiş Kerberos biletlerini geçersiz kılmadığı için ekipler etkin biletleri ayrıca incelemeli; otomatik çevrelemeden hariç tutulan her hesaba bilinçli bir manuel yanıt eylemi atanmalı.