Veille menaces / Attaque
De faux appels du support informatique sur Teams ont mené à des certificats de comptes privilégiés
Microsoft décrit deux intrusions parties d'une personne se faisant passer pour le support informatique sur Teams. Les attaquants ont amené des utilisateurs à ouvrir Quick Assist, puis ont abusé de réglages trop permissifs des services de certificats Active Directory pour obtenir des certificats de comptes privilégiés et d'un contrôleur de domaine. Dans un cas, des données ont été copiées vers l'extérieur. Aucune faille de Teams n'a été utilisée.
- Secteur
- Tous secteurs
- Point d'entrée
- Hameçonnage, ingénierie sociale
- Produit ou fournisseur
- Microsoft Teams, Quick Assist, AD CS
- Comment c'est arrivé
- D'abord de l'ingénierie sociale : des messages et appels sur Microsoft Teams se faisant passer pour l'informatique ou le support, pour obtenir un accès à distance, surtout via Quick Assist. Puis un abus des services de certificats Active Directory (AD CS). Cas 1 : un modèle de certificat présentant la faiblesse ESC1 a donné des certificats de comptes privilégiés. Cas 2 : l'attaquant a utilisé PetitPotam pour faire s'authentifier un contrôleur de domaine auprès de son système, a relayé cette authentification vers l'inscription web d'AD CS (ESC8) et a obtenu un certificat du contrôleur de domaine. Microsoft indique qu'aucune vulnérabilité de Teams n'a été exploitée.[1][2] Vérifié le 8 nov. 2026
- Ce qui a été volé
- Cas 1 : des certificats de 11 comptes privilégiés en deux vagues (3, puis 8, selon notre addition des chiffres de Microsoft), un DCSync lancé quelques secondes après le premier certificat privilégié, et des fichiers copiés d'un serveur de fichiers vers une destination SFTP externe avec un Rclone renommé. Microsoft ne dit pas quelle quantité de données a été prise. Cas 2 : un certificat d'un contrôleur de domaine et un ticket Kerberos pour celui-ci.[1][2] Vérifié le 8 nov. 2026
- Qui est touché
- Deux organisations, non nommées, sans secteur précisé. Dans le cas 1, le confinement automatique de Defender a restreint les identités compromises, mais un compte privilégié en était exclu et est resté utilisable. Dans le cas 2, le client a isolé le poste après les alertes et Microsoft n'a pas vu de progression ultérieure.[1][2] Vérifié le 8 nov. 2026
- Acteur
- Non attribué. Microsoft indique que l'activité n'est attribuée à aucun acteur précis.
Chronologie
- Microsoft publie son enquête sur les deux intrusions et indique que l'activité n'est attribuée à aucun acteur précis. Il recommande de traiter les exclusions du confinement comme des décisions d'incident, avec une action manuelle pour tout compte que l'automatisation ne peut pas contenir. [1]
- The Hacker News reprend l'affaire. Microsoft n'a donné ni dates pour les intrusions ni noms de victimes. [2]