Chemins d’attaque ESC1 et ESC8 : De l’ingénierie sociale à l’abus AD CS

Résumé

Les acteurs de la menace ont utilisé l’ingénierie sociale via Microsoft Teams pour se faire passer pour le personnel du service d’assistance informatique et établir un accès à distance avec Quick Assist. Après avoir obtenu l’accès, ils ont abusé des Services de certificats Active Directory (AD CS) mal configurés par le biais des techniques ESC1 et ESC8 pour accroître les privilèges et obtenir une authentification au niveau du domaine. Les intrusions ont permis une inscription non autorisée de certificats, une activité DCSync et une exfiltration de données subséquente.

Enquête

L’enquête a reconstitué la chaîne d’attaque depuis l’interaction de phishing initiale par Teams jusqu’à l’abus ultérieur de certificats. Les analystes ont corrélé la télémétrie des sessions à distance, l’exécution suspecte de processus à partir de répertoires accessibles en écriture par l’utilisateur, et les événements d’AD CS, y compris les demandes d’inscription de certificats et l’activité PKINIT. Les discordances entre les identités authentifiées et les appareils d’origine ont fourni des pivots importants pour identifier les attaques potentielles par relais NTLM.

Atténuation

Les organisations devraient appliquer des procédures de vérification rigoureuses pour les demandes de support non sollicitées et restreindre l’accès externe dans Microsoft Teams. Les atténuations techniques incluent l’utilisation de App Control for Business pour bloquer les exécutions non autorisées et le renforcement d’AD CS en activant la Protection étendue pour l’authentification (PEA) et HTTPS sur les points d’inscription. Désactiver NTLM sur les services d’inscription et auditer régulièrement les modèles de certificats est également crucial.

Réponse

Lorsqu’une activité malveillante est détectée, les intervenants doivent immédiatement isoler les postes de travail affectés et examiner les identités compromises pour les risques d’exclusion. Les certificats non autorisés doivent être révoqués et les informations de révocation mises à jour publiées. Les tickets Kerberos actifs doivent être évalués séparément, car la révocation des certificats n’invalide pas les TGT existants. Un confinement manuel doit également être assigné aux comptes exclus de l’interruption automatique.

Exécution de simulation

• Récit d’attaque & Commandes : L’adversaire lance une campagne de phishing via Microsoft Teams, se faisant passer pour le support IT. Ils instruisent la victime d’ouvrir « Quick Assist ». Une fois la session établie, l’attaquant utilise l’accès distant pour déployer un exécutable portable python.exe dans un répertoire déguisé : C:Users<User>AppDataRoamingKB. Enfin, pour faciliter le déplacement latéral, l’attaquant exécute systeminfo and ipconfig pour recueillir des données de reconnaissance sur l’hôte.

• Script de test de régression :

  # Script de simulation : Phishing Teams & Exécution de runtime portable
  
  # 1. Configuration : Créer le répertoire 'malicious' dans AppData
  $targetDir = "$env:APPDATAKB"
  if (!(Test-Path $targetDir)) { New-Item -Path $targetDir -ItemType Directory -Force }
  
  # 2. Simuler le runtime portable (création d'un fichier factice nommé python.exe)
  # Dans une véritable attaque, il s'agirait d'un binaire réel.
  $dummyPython = Join-Path $targetDir "python.exe"
  New-Item -Path $dummyPython -ItemType File -Force
  
  # 3. Simuler le processus parent 'Teams' lançant Quick Assist
  # Note : Puisque nous ne pouvons pas facilement falsifier l'arborescence des processus réelle Teams.exe dans un seul script 
  # sans injection avancée, nous simulons la télémétrie en imitant la ligne de commande 
  # et le comportement attendu d'une manière similaire à la logique.
  
  Write-Host "[!] Simulation de la suite d'attaque..."
  
  # Déclencher la logique de détection en simulant la chaîne de processus
  # Note : Pour déclencher la règle Sigma spécifique, le processus 'python.exe' 
  # doit être vu comme un enfant de 'Teams.exe' dans le flux de télémétrie.
  
  # Étape A : Simuler Teams appelant Quick Assist (Simulation manuelle de télémétrie)
  # Dans un environnement de test réel, vous pourriez utiliser un outil comme 'ProcessHacker' ou 'Sysmon'
  # pour manipuler les PIDs parents, mais pour ce script, nous exécuterons la séquence.
  
  Start-Process "cmd.exe" -ArgumentList "/c echo Simulation de Teams appelant Quick Assist"
  
  # Étape B : Exécuter le 'runtime portable' depuis le chemin spécifique
  Start-Process -FilePath $dummyPython -ArgumentList "--version" -ErrorAction SilentlyContinue
  
  # Étape C : Exécuter les commandes de découverte
  Start-Process "cmd.exe" -ArgumentList "/c systeminfo"
  Start-Process "cmd.exe" -ArgumentList "/c ipconfig"
  Start-Process "cmd.exe" -ArgumentList "/c tasklist"
  
  Write-Host "[+] Simulation complète. Vérifiez le SIEM pour les alertes."

• Commandes de nettoyage :

  # Nettoyage : Supprimer le répertoire et les fichiers malveillants simulés
  $targetDir = "$env:APPDATAKB"
  if (Test-Path $targetDir) {
      Remove-Item -Path $targetDir -Recurse -Force
      Write-Host "[+] Nettoyage réussi : $targetDir supprimé."
  } else {
      Write-Host "[-] Nettoyage échoué : Répertoire introuvable."