Hacker geben sich auf Microsoft Teams als IT-Helpdesk aus, um über AD-CS-Angriffe Domain-Admin-Zugriff zu erlangen

Was passiert ist

Microsoft hat am 30. Oktober 2026 zwei Eindringvorfälle offengelegt, bei denen Zertifikatvorlagen missbraucht und NTLM-Relay eingesetzt wurden. Stattdessen kombinierten die Angreifer Social Engineering mit unsicheren AD-CS-Konfigurationen, um Zertifikate zu erlangen, die privilegierte Benutzer oder einen Domänencontroller repräsentieren. Microsoft ist ein Software- und Softwareentwicklungsunternehmen mit Sitz in Redmond.

Nach der Kompromittierung übertrugen die Angreifer Archive in den Ordner Downloads, entpackten Payloads in Verzeichnisse mit dem Präfix KB unter Benutzerprofilen und starteten portable Python-, Bun- oder Java-Laufzeitumgebungen. Beim ersten Vorfall identifizierten die Angreifer eine Zertifikatvorlage, die für ESC1 anfällig war.

Hacker gaben sich auf Microsoft Teams als Mitarbeiter des IT-Helpdesks aus, um sich Fernzugriff zu verschaffen und Active Directory Certificate Services (AD CS) zu missbrauchen, wodurch genehmigte Support-Sitzungen zu privilegierten Authentifizierungswegen wurden. Die Angriffe nutzten keine Schwachstelle in Teams aus.

Microsoft hat die Aktivitäten keinem bestimmten Bedrohungsakteur zugeordnet. Hacker geben sich als IT-Helpdesk auf Microsoft Teams aus. Die Angreifer kontaktierten Mitarbeiter per Teams-Nachrichten und Anrufen, gaben sich als Support-Personal aus und überredeten die Opfer, Quick Assist zu starten und Verbindungscodes weiterzugeben.

Nach der Organisation benannte Mandantennamen und support-orientierte Anzeigenamen ließen externe Kontakte vertraut erscheinen. Diese Komponenten führten die Host-Erkennung durch und bewerteten die Zertifikatsdienste, mit Verbindungen zur Domänen-Infrastruktur über LDAPS und SMB.