From help desk impersonation to AD CS abuse: Investigating ESC1 and ESC8 intrusion paths
Microsoft Threat Intelligence dokumentiert zwei human-operated Intrusions, bei denen Angreifer per Teams-Nachrichten und -Anrufen Helpdesk-Mitarbeiter imitierten und Nutzer zu Quick-Assist-Sessions überredeten. Nach dem Remote-Zugriff wurden portable Python-, Bun- oder Java-Runtimes gestaged und AD CS auf ausnutzbare Zertifikatspfade geprüft: In einem Fall ein ESC1-anfälliges Template für privilegierte Konten inklusive DCSync, im anderen PetitPotam-NTLM-Relay auf Web Enrollment (ESC8) mit PKINIT gegen das Domänenkonto. Betroffen sind alle Tenants mit AD CS-Infrastruktur und permissiven Templates bzw. ungeschützten Enrollment-Endpunkten.
→ Certificate Templates und Web-Enrollment-Endpunkte auf ESC1/ESC8 prüfen und absichern, denn ein einmal ausgestelltes Auth-Zertifikat überlebt Passwort-Reset und Reimaging und bleibt ein dauerhafter Zugangspfad.