Invasores se passaram por integrantes da equipe de suporte de TI no Microsoft Teams para obter acesso remoto e abusar dos Serviços de Certificados do Active Directory (AD CS), transformando sessões de suporte aprovadas em caminhos de autenticação privilegiada.
A Microsoft divulgou duas invasões em 30 de outubro de 2026, envolvendo abuso de modelos de certificado e retransmissão NTLM (protocolo de autenticação do Windows). Os ataques não exploraram nenhuma vulnerabilidade do Teams.
Em vez disso, os operadores combinaram engenharia social com configurações inseguras do AD CS para obter certificados que representavam usuários privilegiados ou um controlador de domínio. A Microsoft não atribuiu a atividade a um grupo de ameaças específico.
Invasores se passam por equipe de suporte de TI no Microsoft Teams
Os atacantes entraram em contato com funcionários por meio de mensagens e chamadas no Teams, fazendo-se passar por equipe de suporte e convencendo as vítimas a iniciar o Assistência Rápida (Quick Assist) e a compartilhar códigos de conexão.
Nomes de locatários com temática da organização e nomes de exibição voltados ao suporte ajudaram a tornar os contatos externos aparentemente familiares. Depois de obter o controle, os operadores transferiram arquivos compactados para a pasta Downloads, extraíram cargas maliciosas em diretórios com prefixo KB dentro dos perfis de usuário e executaram ambientes de execução portáteis de Python, Bun ou Java.
Esses componentes realizaram descoberta de hosts e avaliaram os serviços de certificados, com conexões à infraestrutura do domínio por LDAPS (LDAP sobre TLS) e SMB (protocolo de compartilhamento de arquivos). Na primeira invasão, os atacantes identificaram um modelo de certificado vulnerável à ESC1 (uma configuração insegura de modelo de certificado).
Permissões de inscrição amplas, informações de identidade fornecidas pelo solicitante e controles de emissão fracos permitiram que uma conta com poucos privilégios solicitasse certificados de autenticação para identidades privilegiadas.
A primeira onda de phishing teve como alvo três usuários e comprometeu uma estação de trabalho. Os atacantes obtiveram certificados de três contas altamente privilegiadas.
Por volta de 90 minutos após a interrupção, outra onda atingiu 16 usuários, comprometeu mais uma estação de trabalho e obteve certificados de oito contas privilegiadas adicionais.
O Microsoft Defender bloqueou mais de 1.000 tentativas subsequentes de acesso a arquivos via SMB e logons adicionais. No entanto, os atacantes executaram um DCSync em poucos segundos após obter um dos certificados privilegiados, enquanto a contenção estava sendo aplicada.
Uma conta privilegiada excluída da contenção automatizada permaneceu utilizável. Os operadores a usaram para acessar um servidor de arquivos e executar o Rclone, renomeado como SearchApp.exe, copiando arquivos para um destino externo via SFTP (protocolo seguro de transferência de arquivos).
Na segunda invasão, os atacantes usaram o PetitPotam sobre EFSRPC (protocolo de acesso remoto ao sistema de arquivos criptografado) para forçar a autenticação de um controlador de domínio. Em seguida, retransmitiram a autenticação NTLM resultante para a Inscrição Web do AD CS, insuficientemente protegida, explorando a fraqueza de configuração ESC8.
O atacante obteve um certificado de controlador de domínio, utilizou a autenticação Kerberos PKINIT e recebeu um ticket-granting ticket para a identidade daquela máquina. Após alertas do Defender, o cliente isolou a estação de trabalho, e a Microsoft não observou nenhuma progressão adicional.
A Microsoft recomenda restringir o acesso externo ao Teams, verificar solicitações de suporte não solicitadas, controlar a execução de ambientes de execução portáteis e revisar as permissões de inscrição de certificados. Os endpoints de inscrição devem exigir HTTPS (protocolo seguro de transferência de hipertexto) e Proteção Estendida para Autenticação, além de desativar o NTLM sempre que possível.
As equipes de resposta devem revogar os certificados não autorizados e investigar separadamente os tickets Kerberos, pois a redefinição de senhas não revoga os certificados já emitidos, e a revogação de certificados não invalida os tickets existentes.
Indicadores de comprometimento (IOC)
Observação: Endereços IP e domínios foram intencionalmente desfigurados (defanged), por exemplo com [.], para evitar resolução ou criação de links acidentais. A restauração do formato original deve ser feita somente em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM.
