Op 30 oktober 2026 publiceerde Microsoft een verslag van twee door zijn Threat Intelligence-team onderzochte inbraken. In beide gevallen deden aanvallers zich via Microsoft Teams voor als IT-helpdesk en haalden ze medewerkers over om externe toegang met Quick Assist toe te staan. Daarna misbruikten ze zwakke configuraties van Active Directory Certificate Services (AD CS) om certificaten voor bevoorrechte accounts te verkrijgen. Microsofts verslag beschrijft social engineering via Teams, geen softwarefout in Teams.
Van Teams-contact naar toegang op afstand
De aanvallers benaderden medewerkers via Teams-berichten en -gesprekken en deden zich voor als IT- of helpdeskmedewerkers. Gebruikers verleenden vervolgens toegang tot hun computer, meestal via Quick Assist. De eerste stap was dus een interactie die een medewerker zelf toestond; daarna volgden de aanvallers hun route via de certificaatdiensten.
In beide gevallen plaatsten de aanvallers een archief op de computer, pakten dat uit in een nieuwe, voor de gebruiker beschrijfbare map en voerden scripts uit met draagbare versies van Python, Bun of Java. Microsoft beschrijft ook verkenning van de computer en het netwerk voordat de aanvallers AD CS onderzochten. Een runtime of bestandsnaam op zichzelf zegt weinig: de maplocatie, het proces dat het bestand startte, de externe sessie en het gedrag erna moeten samen worden bekeken.
Twee routes via AD CS, met verschillende gevolgen
De incidenten splitsten zich na de toegang op afstand in twee verschillende routes voor certificaatmisbruik. ESC1 draaide om een verkeerd ingesteld certificaatsjabloon; in het andere geval leidde PetitPotam tot een NTLM-relay naar AD CS Web Enrollment, aangeduid als ESC8.
ESC1: een uitgesloten account bleef bruikbaar
In de eerste aanvalsgolf werden drie gebruikers en één werkstation getroffen. De aanvaller verkreeg certificaten voor drie accounts met hoge rechten. Ongeveer 90 minuten later richtte een tweede golf zich op 16 gebruikers en een ander werkstation; daarbij verkreeg de aanvaller certificaten voor nog eens acht bevoorrechte accounts.
Met ESC1 kan een verkeerd ingesteld, voor authenticatie geschikt certificaatsjabloon een aanvrager toestaan zelf identiteitsgegevens op te geven. In combinatie met ruime inschrijfrechten kan zo’n aanvrager een certificaat voor een bevoorrecht account verkrijgen.
Microsoft Defender Attack Disruption beperkte activiteiten van accounts die wel onder de automatische ingreep vielen en blokkeerde later meer dan 1.000 pogingen tot SMB-bestandstoegang en aanmeldingen. Binnen enkele seconden nadat een bevoorrecht certificaat was verkregen, begon de aanvaller echter een DCSync-actie, waarbij replicatie van Active Directory werd misbruikt. De ingreep beperkte verdere replicatie. Eén bevoorrecht account was uitgesloten van automatische containment en bleef bruikbaar; de aanvaller gebruikte het later voor toegang tot een fileserver en gegevensoverdracht naar een externe SFTP-bestemming.
PetitPotam en ESC8: NTLM-relay naar Web Enrollment
In de tweede zaak gebruikte de aanvaller PetitPotam, dat een domeincontroller ertoe bracht zich via NTLM te authenticeren bij een systeem onder controle van de aanvaller. Die authenticatie werd doorgestuurd naar AD CS Web Enrollment, de ESC8-route. De aanvaller verkreeg een certificaat voor het account van de domeincontroller en gebruikte dat voor PKINIT, certificaatgebaseerde Kerberos-authenticatie, om een ticket-granting ticket (TGT) aan te vragen.
Microsoft Defender genereerde waarschuwingen over ESC8-activiteit. De klant isoleerde daarop het betrokken werkstation; daarna nam Microsoft geen verdere aanval voortgang waar.
Welke signalen beveiligingsteams kunnen combineren
Microsoft beschrijft vier soorten huntingquery's als aanknopingspunten voor onderzoek. Ze zijn bedoeld om op de eigen omgeving af te stemmen en met andere signalen te combineren, niet om een losse treffer als bewijs van een inbraak te behandelen.
- Externe Teams-contacten en signalen van helpdeskimitatie.
- Bun- of Java-processen die vanuit KB-genummerde stagingmappen worden gestart.
- Netwerkverkeer van die runtimes, waaronder verbindingen naar poorten 80, 445, 636 en 88.
- Waarschuwingen over NTLM-relay, Certificate Services, PKINIT of Kerberos-ticketaanvragen.
De samenhang is belangrijk voor de beoordeling: verbind het Teams-contact en de sessie op afstand met procesactiviteit op het werkstation, certificaataanvragen en -uitgifte, identiteitswaarschuwingen en Kerberos-activiteit. Microsoft publiceerde daarnaast drie SHA-256-indicatoren voor scripts voor initiële toegang: één JavaScript-script en twee Python-scripts. Ook die indicatoren zijn onderzoekssignalen, geen zelfstandig bewijs van een inbraak. Microsofts incidentanalyse bevat de queryvoorbeelden en hashes.
Welke responsmaatregelen Microsoft noemt
Laat medewerkers onverwachte verzoeken om ondersteuning controleren via een bekend intern kanaal. Beoordeel welke externe Teams-contacten nodig zijn en beperk tools voor hulp op afstand tot goedgekeurde werkwijzen. Voor AD CS adviseert Microsoft certificaatsjablonen te controleren op zelf opgegeven identiteitsgegevens, te ruime inschrijfrechten en zwakke uitgiftecontroles. Overbodige Web Enrollment-eindpunten kunnen worden verwijderd; voor benodigde eindpunten noemt Microsoft HTTPS en Extended Protection for Authentication (EPA), en het uitschakelen van NTLM waar dat operationeel haalbaar is. Microsofts richtlijn voor bescherming tegen NTLM-relay naar AD CS beschrijft deze maatregelen.
Een wachtwoordreset of het opnieuw installeren van een werkstation trekt een al uitgegeven certificaat niet in en maakt eerder uitgegeven Kerberos-tickets niet ongeldig. Bij een ongeoorloofd certificaat zijn intrekking en het bijwerken van intrekkingsinformatie daarom afzonderlijke acties; actieve Kerberos-tickets moeten apart worden beoordeeld. Accounts of apparaten die buiten automatische containment vallen, vragen eveneens om een handmatige tegenmaatregel en controle dat die is uitgevoerd.
