Falso help desk no Teams leva a abuso de AD CS: Microsoft detalha intrusões via ESC1 e ESC8

O ponto central do relato da Microsoft é a persistência que o AD CS dá ao invasor. Um certificado de autenticação emitido para uma conta privilegiada ou de máquina funciona independentemente da senha comprometida. Redefinir a senha do usuário ou refazer a imagem da primeira estação não revoga o certificado nem invalida tickets Kerberos já emitidos. Revogação de certificado e revisão de tickets são ações de contenção separadas.

As duas intrusões começaram igual: mensagens e chamadas no Teams se passando por help desk, sessão de Quick Assist aprovada pelo usuário, arquivo colocado em Downloads, extração em uma pasta com prefixo KB no perfil do usuário e execução de runtime portátil (Python, Bun ou Java). No Caso 1, o ESC1 rendeu certificados de 3 contas altamente privilegiadas na primeira onda e de mais 8 numa segunda onda, cerca de 90 minutos depois, que mirou 16 usuários. O attack disruption do Defender bloqueou mais de 1.000 tentativas de acesso SMB, mas uma conta privilegiada excluída da resposta automática seguiu ativa. Com ela, o atacante chegou a um servidor de arquivos e usou uma cópia renomeada do Rclone (SearchApp.exe) para enviar dados a um destino SFTP externo. No Caso 2, o ESC1 não estava disponível. O atacante usou PetitPotam via EFSRPC, retransmitiu a autenticação NTLM do controlador de domínio ao Web Enrollment (ESC8), obteve certificado com o template Domain Controller e conseguiu um TGT por PKINIT. O cliente isolou a estação após alertas do Defender e não houve progressão observada.

A Microsoft ressalta que não houve exploração de vulnerabilidade no Teams e que a atividade não é atribuída a um agente específico. O problema são configurações inseguras ou permissivas do AD CS somadas a engenharia social.

O padrão de falso help desk no Teams já vinha sendo acompanhado. Em 2 de março de 2026, o CEVIU noticiou "Golpe de engenharia social no Microsoft Teams revela que invasores migram para canais de colaboração em tempo real", e em 22 de abril de 2026, "Microsoft Alerta: Uso Abusivo do Teams em Ataques de Impersonificação de Helpdesk", que falava em chats externos do Teams levando vítimas a ferramentas legítimas de gerenciamento remoto. Aquelas matérias descreviam o acesso inicial e a movimentação. Agora a Microsoft detalha o que acontece depois da sessão remota: a avaliação do AD CS e a escalada por certificados via ESC1 e ESC8, com dois desfechos de resposta documentados.

Para quem opera AD, a leitura é que a defesa contra esse padrão não termina no Teams nem no Quick Assist. Se templates e endpoints de Web Enrollment estão mal configurados, uma sessão aprovada por um único usuário pode virar identidade privilegiada com certificado. Para quem cuida de resposta a incidentes, o Caso 1 sugere revisar exclusões de contenção automática, já que uma única conta fora do escopo manteve o caminho aberto. Também vale incluir revogação de certificados e revisão de tickets Kerberos no playbook, e não só reset de senha.