黑客冒充Microsoft Teams上的IT帮助台，利用AD CS攻击获取域管理员权限

事件经过

微软于2026年10月30日披露了两起入侵事件，涉及证书模板滥用和NTLM中继。攻击者并未利用Teams漏洞，而是将社会工程学与不安全的AD CS配置相结合，以获取代表特权用户或域控制器的证书。微软是一家总部位于雷德蒙德的软件及软件开发公司。

攻击者在获得控制权后，将压缩包转移至Downloads目录，把载荷解压到用户配置文件下以KB开头的目录中，并启动便携式Python、Bun或Java运行环境。在第一起入侵中，攻击者发现了一个存在ESC1漏洞的证书模板。

黑客通过Microsoft Teams冒充IT帮助台人员，获取远程访问权限，并滥用Active Directory Certificate Services（AD CS），将经批准的支持会话转变为特权认证路径。微软尚未将此次活动归因于某个特定威胁行为者。

攻击者通过Teams消息和通话联系员工，假扮支持人员，诱使受害者启动Quick Assist并分享连接代码。以组织命名的租户名称和带有支持性质的显示名称，使外部联系人看起来十分熟悉。这些组件执行了主机发现并评估证书服务，并通过LDAPS和SMB与域基础设施建立连接。