מיקרוסופט: התחזות לתמיכת IT ב-Teams וניצול תבניות AD CS לקבלת תעודות מנהל

מיקרוסופט פרסמה ב-30 באוקטובר 2026 ניתוח של שתי חדירות לארגונים, שבהן תוקפים התחזו לתמיכה טכנית ב-Microsoft Teams, קיבלו שליטה מרחוק בתחנת עבודה, ואז ניצלו הגדרות לא בטוחות של Active Directory Certificate Services (AD CS) כדי להנפיק לעצמם תעודות לחשבונות מורשים. מיקרוסופט לא ייחסה את החדירות לקבוצה מסוימת.

הפרטים

התוקפים פנו לעובדים מדיירים חיצוניים ב-Teams בשמות שנראו כשם של תמיכה, ושכנעו אותם לפתוח Quick Assist ולמסור את קוד החיבור. בחדירה הראשונה ניצלו תבנית תעודה (ESC1) שמאפשרת למבקש לקבוע עבור איזה חשבון תונפק התעודה; בשני גלים הונפקו תעודות ל-11 חשבונות מורשים. בחדירה השנייה הועבר אימות NTLM לנקודת ההרשמה של AD CS (ESC8) והתקבלה תעודה לבקר דומיין; הארגון בודד את התחנה והתקיפה נעצרה. לפי מיקרוסופט, תעודות כאלה ממשיכות לעבוד גם אחרי איפוס סיסמה או התקנה מחדש.

נקודות לשים לב

הגבל אילו דיירים חיצוניים רשאים ליצור קשר עם עובדים ב-Teams, ואשר רק כלי תמיכה מרחוק מורשים.
סרוק תבניות תעודה שבהן המבקש קובע את הזהות, או שמוגדרות הרשאות רישום רחבות מדי, והסר הרשאות מיותרות.
בנקודות הרשמה ב-AD CS דרוש HTTPS והפעל Extended Protection for Authentication; לפי הדיווח, ב-Windows Server 2025 היא פעילה כברירת מחדל, ובגרסאות 2022 ו-2019 יש להפעיל ידנית (ראה KB5005413).
הפעל ביקורת על תעודות. ביטול תעודה אינו מבטל כרטיסי Kerberos שכבר הונפקו, ולכן בדוק אותם בנפרד.
אל תוציא חשבון מורשה מהכלה אוטומטית בלי החלטה מפורשת: בחדירה הראשונה חשבון כזה איפשר לתוקף להמשיך להוציא מידע.