دعم تقني مزيف عبر Teams ثم شهادات النطاق: Microsoft تفصّل عمليتي اختراق عبر AD CS

حققت Microsoft في عمليتي اختراق بدأتا بفنيين مزيفين عبر Teams ثم استغلتا خدمات شهادات Active Directory. وفي إحدى الحالتين، أدت شهادات حسابات ذات امتيازات إلى سرقة بيانات من خادم ملفات. ولم تُستغل أي ثغرة في Teams: كفى إقناع موظف وإعداد غير آمن لخدمة AD CS.

ماذا حدث

في تقرير مؤرخ في 30 أكتوبر 2026، تصف Microsoft Threat Intelligence عمليتي اختراق نفذهما مشغلون بشريون في مؤسستين لم يُكشف عن اسميهما. وبدأت العمليتان بالطريقة نفسها: رسائل ومكالمات عبر Teams من حسابات تنتحل صفة مكتب الدعم، لإقناع الموظفين بفتح جلسة Quick Assist أو أداة مشابهة. وتؤكد Microsoft أنه لم تُستغل أي ثغرة في Teams، ولا تنسب النشاط إلى جهة محددة.

كيف دخل المهاجمون

الحالة الأولى (ESC1). استهدفت موجة أولى ثلاثة مستخدمين واخترقت جهاز عمل واحدًا. ثم منح قالب شهادة سيئ الإعداد المهاجم شهادات لثلاثة حسابات ذات امتيازات عالية. وبعد نحو 90 دقيقة من تعطيل الجلسة الأولى، استهدفت موجة ثانية 16 مستخدمًا وأتاحت شهادات لثمانية حسابات أخرى ذات امتيازات. وبعد ثوانٍ من الحصول على إحدى الشهادات، صادق المهاجم على وحدة تحكم بالنطاق وبدأ عملية DCSync. وكان أحد الحسابات ذات الامتيازات مستثنى من الاستجابة الآلية: فاستخدمه المهاجم للوصول إلى خادم ملفات، حيث أرسلت نسخة من Rclone بعد تغيير اسمها بيانات إلى وجهة SFTP خارجية.

الحالة الثانية (ESC8). أجبرت أداة PetitPotam وحدة تحكم بالنطاق على المصادقة لدى نظام يسيطر عليه المهاجم. ثم مُررت هذه المصادقة إلى خدمة التسجيل عبر الويب في AD CS، ما أتاح شهادة ثم تذكرة Kerberos لحساب وحدة التحكم. وعزل العميل الجهاز بعد التنبيهات، ولم تلاحظ Microsoft أي تقدم إضافي.

ماذا تفعل الآن

1. اضبط Teams والدعم عن بُعد: قيّد النطاقات الخارجية، واسمح فقط بأدوات الدعم المعتمدة، وتحقق من أي طلب دعم غير متوقع عبر قناة داخلية معروفة.
2. افحص قوالب الشهادات: شغّل certutil -v -template وابحث عن CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT في القوالب التي تسمح بالمصادقة. عطّل خيار Supply in the request، أو قيّد صلاحيات التسجيل، أو اشترط موافقة مدير.
3. أمّن التسجيل عبر الويب: أحصِ نقاط Web Enrollment وCertificate Enrollment Web Service وأزل غير الضروري منها. وفي البقية، اشترط HTTPS واضبط Extended Protection for Authentication على Required، وفق KB5005413، ثم شغّل iisreset /restart.
4. فعّل التدقيق في جهة إصدار الشهادات للطلبات والإصدارات. ألغِ الشهادات غير المشروعة وراجع أيضًا تذاكر Kerberos: فالإلغاء لا يبطل التذاكر الصادرة من قبل.
5. راجع استثناءات الاحتواء: يحتاج كل حساب خارج الاستجابة الآلية إلى مسؤول محدد وإجراء يدوي.

رأينا

يفسر التصيد الدخول، لكن إعدادات الشهادات تفسر السرعة: كفى جهاز واحد للوصول إلى حسابات على مستوى النطاق. وغالبًا ما تُثبَّت AD CS مرة واحدة ثم تُنسى، مع أنها تستحق حماية وحدة التحكم بالنطاق نفسها. ولا يستغرق تدقيق القوالب ونقاط التسجيل وقتًا طويلًا، ومن الأفضل إجراؤه قبل وقوع حادث.

المصادر

• Microsoft Security Blog — From help desk impersonation to AD CS abuse: Investigating ESC1 and ESC8 intrusion paths
• Microsoft Support — KB5005413: Mitigating NTLM relay attacks on Active Directory Certificate Services
• Microsoft Learn — Certificates security posture assessment in Defender for Identity
• SpecterOps — Certified Pre-Owned
• The Hacker News — Attackers Pose as IT Support on Microsoft Teams, Abuse AD CS to Steal Company Data

كيف نختار تحليلاتنا ونتحقق منها ونكتبها ←