Saldırganlar IT destek ekibi gibi Teams'te davranarak şirket verilerini çaldı

Microsoft, çalışanları uzaktan erişim vermeye ikna eden saldırganların, güvensiz Active Directory Certificate Services ayarlarını kötüye kullanarak ayrıcalıklı hesaplar için giriş sertifikaları elde ettiğini bildirdi.

Microsoft, Teams üzerinden IT destek ekibi kılığına giren saldırganların çalışanları bilgisayarlarının uzaktan kontrolünü vermeye ikna ettiğini açıkladı. Ele geçirilen erişimle saldırganlar, güvensiz Active Directory Certificate Services ayarlarından yararlanarak ayrıcalıklı hesaplar için giriş sertifikaları aldı; bunlardan biri bir etki alanı denetleyicisine aitti.

Microsoft'un incelediği iki saldırıdan birinde saldırganlar, bir sertifika şablonundaki zayıflığı kullanarak on bir ayrıcalıklı hesap için sertifika üretti. Ardından bir etki alanı denetleyicisinde DCSync çalıştırdılar ve verileri dış bir sunucuya kopyaladılar. Ayrıcalıklı hesaplardan biri Defender'ın otomatik kontrol mekanizmasının dışında kaldı ve saldırgan çalışmaya devam edebildi. İkinci olayda ise tek bir iş istasyonunun izole edilmesi saldırıyı durdurdu.

Kullanılabilir bir yama yok, çünkü ortada bir ürün hatası bulunmuyor. Bunun yerine yapılandırma ve olay müdahalesi öne çıkıyor: beklenmedik destek taleplerinin bilinen kanallardan doğrulanması, Teams'te dış erişimin ve onaylı uzaktan destek araçlarının kısıtlanması, sertifika şablonlarının ve web kayıt uç noktalarının denetlenmesi ve otomatik kontrolün dışında tutulan hesapların açık bir kararla yönetilmesi.