Alerta Crítico: Vulnerabilidade 'Golden SAML' em ADFS Permite Ataques com Chaves 'Fantasma'

A Mandiant revelou uma variante perigosa da conhecida técnica de ataque Golden SAML, focada em ambientes Active Directory Federation Services (ADFS). Esta nova abordagem, identificada em um engajamento de red team, permite que atacantes forjem asserções SAML de alto privilégio sem tocar no LSASS ou no processo ADFS, evitando detecções comuns. A chave para o sucesso é o cenário de “certificado fantasma”: quando o AutoCertificateRollover está desabilitado e a rotação de certificados é manual, um certificado obsoleto, mas ainda funcional, pode permanecer no banco de dados WID.

O ponto crítico é que a chave de assinatura de token ativa é protegida pelo Machine DPAPI. Com privilégios de SYSTEM no host ADFS, um invasor consegue extrair essa chave aproveitando o segredo DPAPI_SYSTEM LSA e as masterkeys da máquina. Isso permite a criação de asserções SAML de Administrador Global que o Entra ID aceita como válidas, concedendo acesso irrestrito. A pesquisa da Mandiant demonstra como um desalinhamento na configuração do ADFS cria uma janela de oportunidade para um atacante com acesso local. É um lembrete importante de que falhas na gestão de configurações podem ter consequências severas na segurança.

Este ataque Golden SAML é uma ameaça séria para qualquer organização que utilize ADFS para federação de identidade. A capacidade de contornar a autenticação multifator (MFA), o acesso condicional e todos os controles baseados em identidade com uma chave forjada significa que um invasor pode se autenticar como qualquer usuário, incluindo Administradores Globais, em qualquer aplicação federada SAML, como Microsoft 365 e Entra ID.

A técnica é particularmente insidiosa porque evita a interação direta com componentes que geralmente são monitorados de perto, como LSASS e o processo ativo do ADFS, reduzindo a visibilidade para as equipes de segurança. A Mandiant ressalta que infraestruturas ADFS devem ser tratadas como sistemas de Camada 0, com o mesmo nível de criticidade que Controladores de Domínio. Qualquer acesso SYSTEM a um host ADFS deve ser considerado um comprometimento da chave de assinatura.