LONDON (IT BOLTWISE) – Angreifer gaben sich in Microsoft Teams als IT-Support aus und übernahmen per Quick Assist die PCs von Mitarbeitenden. Anschließend missbrauchten sie Active Directory Certificate Services so, dass privilegierte Konten auch nach Passwort-Reset oder Geräte-Löschung weiter nutzbar blieben. In zwei beobachteten Einbrüchen reichte das Spektrum von ESC1-Templates bis zu ESC8 via PetitPotam-Umleitung. Microsoft zeigt damit, wie entscheidend teilweise oder gezielte Eindämmung bei Identity-basierten Angriffen ist.
Microsoft beschreibt zwei reale Intrusionen, bei denen Angreifer nicht eine Schwachstelle in Microsoft Teams ausnutzten, sondern den menschlichen Prozess hinter dem Tool: Sie kontaktierten Beschäftigte per Teams-Nachrichten und Telefonanrufe und gaben sich als „eigener“ IT- oder Helpdesk aus. Auffällig ist dabei die niedrige technische Einstiegshürde. Die Angreifer brachten einzelne Nutzer dazu, die Windows-Funktion „Quick Assist“ zu öffnen und dem Angreifer den Verbindungscode vorzulesen. Damit erhielt der Angreifer eine direkte, händische Fernsteuerung der jeweiligen Arbeitsstation – ein Zugriff, der für weitere Schritte meist nicht einmal lange „im Verborgenen“ bleiben muss.
Nach der Übernahme landete typischerweise ein Archiv im Ordner „Downloads“, das anschließend in ein Verzeichnis entpackt wurde, das eine Windows-Update-Struktur imitieren soll. Ausgeführt wurde das Ganze mit portablen Laufzeiten wie Python, Bun oder einem Java-Runtime-Äquivalent. Microsoft macht in dem Bericht auch deutlich, warum rein „benannte Dateien“ als Erkennungsmerkmal zu kurz greifen: In mindestens einem Fall wurde die Kopie zwar umbenannt, trug aber weiterhin echte Versionsinformationen der jeweiligen Runtime in den Metadaten. Für Blue-Teams ist das ein klassisches Muster aus der Praxis – die Angreifer optimieren nicht nur die Entladung, sondern auch die Plausibilitätsprüfung durch Menschen und teilweise auch durch einfache Regeln.
Der eigentliche Kipppunkt für Privilegien liegt in Active Directory Certificate Services (AD CS). AD CS stellt Zertifikate aus, die Nutzer und Geräte beim Login präsentieren; wer ein Zertifikat besitzt, kann sich dann als das darin benannte Konto authentifizieren. Kritisch wird das, wenn die Zertifikatvorlagen (Certificate Templates) unzureichend gehärtet sind. Microsoft betont, dass ein so ausgestelltes Zertifikat weiter funktioniert, selbst wenn das Kennwort des betroffenen Kontos zurückgesetzt wird oder wenn die betroffene Maschine neu aufgesetzt wird. Das erklärt, warum diese Angriffe oft „dauerhaft“ wirken: Sie verlagern die Kontrolle von Passwörtern und Gerätezustand hin zu Vertrauensketten rund um die PKI-Konfiguration.
Im ersten Fall identifizierten die Angreifer eine Vorlage mit einer Schwäche, die im Umfeld als ESC1 bekannt ist. Bei solchen Templates kann der Antragsteller den Identitätsnamen des Zertifikats festlegen. Dadurch kann ein niedrig privilegierter Nutzer ein Zertifikat anfordern, das für ein wesentlich stärkeres Konto steht. Microsoft beschreibt, dass die erste Welle gezielt drei Nutzende und eine Arbeitsstation ansprach; die Angreifer erhielten daraus Zertifikate für drei hoch privilegierte Konten. Microsoft Defender unterbrach daraufhin automatisch die aktiven Sessions und kappte die Identitäten – aber ein privilegiertes Konto blieb laut Bericht aus der automatischen Reaktion heraus, blieb damit weiterhin nutzbar, und wurde später zum „offenen Fenster“. Rund 90 Minuten nach der ersten Runde traf eine zweite Welle 16 Nutzer und eine weitere Workstation; daraus entstanden weitere Zertifikate für acht privilegierte Konten. Mehr als 1.000 spätere Versuche, über SMB auf Dateien zuzugreifen oder sich anzumelden, wurden laut Microsoft blockiert. Kurz nach dem Zertifikatserhalt meldeten sich die Angreifer jedoch an einem Domain Controller an und starteten DCSync, um Passwortdaten aus Active Directory zu kopieren; die Eindämmung griff offenbar erst, nachdem dieser Ablauf bereits begonnen hatte. Obwohl Microsoft keine Menge der ausgelesenen Credential-Daten nennt, zeigt der Ablauf eine harte Konsequenz: Wenn in der Identitätskette ein Konto „aus Versehen“ offen bleibt, reicht das für weitere Bewegung – etwa bis zu einem File Server. Dort soll ein umbenanntes Rclone-Setup Daten aus einem Share zu einem externen SFTP-Ziel verschoben haben; auch die Datenmenge blieb im Bericht offen. Microsoft fasst das Ergebnis sinngemäß als Beleg, dass „partielle Identity-Containment“ Aktivität reduzieren kann, aber eine funktionierende privilegierte Route nicht automatisch eliminiert.
Der zweite Fall startete zwar ebenfalls über Quick Assist, verlief dann aber in eine andere technische Richtung. Die Angreifer konnten die ESC1-Lücke diesmal nicht verwenden, setzten stattdessen auf PetitPotam, um einen Domain Controller zu einer Authentifizierung gegen eine von ihnen kontrollierte Zielmaschine zu bewegen. Der darauf folgende NTLM-Login wurde an die AD-CS-Webregistrierungsseite umgeleitet; diese Umgehung wird als ESC8 eingeordnet. Wichtig: Laut Microsoft ist dafür kein Passwort nötig. Mit dem umgeleiteten Authentifizierungsfluss konnten die Angreifer ein Zertifikat für den Domain Controller anfordern. Zusammen mit Kerberos-Mechanismen über PKINIT erhält der Angreifer daraus ein Ticket-Granting-Ticket, das den einmaligen Relayauslöser in eine dauerhafte Identität verwandelt. Hier griff die Reaktion offenbar schneller und umfassender: Defender meldete ESC8-Aktivitäten, der Kunde isolierte die betroffene Arbeitsstation, und Microsoft berichtet, dass keine weiteren Aktivitäten nachfolgten. Der Unterschied beider Fälle wird damit zu einer Frage der Eindämmungsarchitektur: Im ersten Szenario stoppte automatische Unterbrechung zwar vieles, ließ aber ein einzelnes Konto als „Durchlass“ offen. Im zweiten Szenario reichte die Isolation eines einzelnen Systems, um die Kette abzukappen, bevor aus dem Relayauslöser eine anhaltende Identität werden konnte.
Da es sich in beiden Fällen nicht um eine ausnutzbare Software-Schwachstelle in Teams handelt, fällt die Gegenstrategie vor allem in den Bereich Härtung und Incident-Response. Microsoft empfiehlt, Support-Anfragen zu verifizieren, bevor Bildschirme geteilt oder Remote-Zugriffe freigegeben werden – also über einen bekannten internen Kanal, nicht über den gerade gezeigten Teams-Chatverlauf. Zudem sollen Teams-Zugriffe aus externen Tenants eingeschränkt werden und remote unterstützende Tools nur über Freigaben erreichbar sein. Zentral ist aber die AD-CS-Seite: Zertifikatvorlagen prüfen, die es Antragsstellern erlauben, die benannte Identität festzulegen, oder die eine zu breite Enrollment-Fähigkeit haben; außerdem Enrollment-Rechte auf das Minimum reduzieren. Für die Web Enrollment Endpoints nennt Microsoft konkrete Hardening-Schritte wie HTTPS erzwingen und Extended Protection for Authentication (EPA) aktivieren; wo möglich, soll dort auch NTLM deaktiviert werden. Microsoft verweist dabei auf die KB5005413 und auf Defender for Identity Posture Checks, die Vorlagen und Expositionspunkte erkennen, die zu ESC1- oder ESC8-Schritten passen. Zusätzlich rät Microsoft zu Zertifikats-Auditing: Wird ein böses Zertifikat ausgestellt, soll es widerrufen werden – allerdings müsse man bedenken, dass Widerruf bereits ausgestellte Kerberos-Tickets nicht „zurückdreht“. Stattdessen seien aktive Tickets separat zu prüfen. Ebenso wichtig sei die Prozessdisziplin: Konten, die von automatischen Containment-Maßnahmen ausgenommen wurden, müssen als bewusst offen identifiziert und mit einer manuellen Maßnahme adressiert werden.
Für das Risiko-Management liefert der Bericht auch Einordnung, was neu ist und was nicht. Microsoft ordnet keinen konkreten Täterverbund namentlich zu und nennt keine Zeitpunkte der Vorfälle. Die zugrundeliegenden Schwächen wie ESC1 und ESC8 werden im Forschungskontext schon seit 2021 beschrieben, PetitPotam wurde ebenfalls in diesem Jahr bekannt. Neu ist hier vor allem die Kombination im realen Angriffsgeschehen: Zwei unterschiedliche AD-CS-Abuse-Wege treffen auf einen praktischen Social-Engineering-Einstieg, plus die Beobachtung, dass ein einziges „ausgenommenes“ Konto den Unterschied zwischen kurzer Störung und nachhaltigem Zugriff machen kann. Microsoft weist außerdem darauf hin, dass neuere Windows-Umgebungen weniger anfällig für die ESC8-Schrittfolge sein sollen und dass EPA für AD CS in Windows Server 2025 standardmäßig aktiviert ist, während Server 2022 und 2019 EPA manuell einschalten müssen. Für Teams, Defender- und Identity-Teams bedeutet das vor allem eins: Wer Zertifikatsvorlagen nicht konsequent als kritische Sicherheitsgrenze behandelt, verschiebt den Schutzhebel vom „Anmelden“ zur „Zertifikatausstellung“ – und genau dort entscheidet dann oft, wie schnell Eindämmung greift.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Teams-„IT-Support“ + AD-CS-Abuse: Zwei Wege zu privilegierten Identitäten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Teams-„IT-Support“ + AD-CS-Abuse: Zwei Wege zu privilegierten Identitäten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Teams-„IT-Support“ + AD-CS-Abuse: Zwei Wege zu privilegierten Identitäten« bei Google Deutschland suchen, bei Bing oder Google News!