Siber Saldırganlar Microsoft Teams Üzerinden BT Desteği Kılığına Girerek Şirket Verilerini Çaldı

Siber Saldırganlar Microsoft Teams Üzerinden BT Desteği Kılığına Girerek Şirket Verilerini Çaldı

Siber saldırganlar, Microsoft Teams platformunda BT destek personeli gibi davrandı. Çalışanları, bilgisayarlarının uzaktan kontrolünü vermeye ikna ettiler. Bu yöntemle, güvenli olmayan Active Directory Sertifika Hizmetleri (AD CS) ayarlarını kullanarak, bir alan denetleyicisi de dahil olmak üzere ayrıcalıklı hesaplar için oturum açma sertifikaları elde ettiler.

Microsoft, bir raporunda, bu tür iki saldırıyı araştırdığını belirtti. Saldırılardan biri, şirket verilerinin harici bir sunucuya kopyalanmasıyla sonuçlandı.

Saldırganlar, Teams’in kendisinde herhangi bir güvenlik açığından faydalanmadı. Bunun yerine, sosyal mühendislik taktiklerine ve yanlış yapılandırılmış AD CS ayarlarına güvendiler. Microsoft, bu faaliyetleri bilinen herhangi bir grupla ilişkilendirmedi.

Saldırılar Nasıl Başladı?

Microsoft’a göre, her iki saldırı da aynı şekilde başladı. Saldırganlar, destek temalı isimlere sahip harici kiracılardan çalıştı. Şirketin kendi BT veya yardım masası gibi davranarak çalışanlara Teams üzerinden mesaj attı ve arama yaptı. Böylece iletişim tanıdık görünüyordu.

Her kullanıcıyı, Windows’ta yerleşik bir uzaktan yardım aracı olan Quick Assist’i açmaya ve bağlantı kodunu kendilerine okumaya ikna ettiler. Bu, saldırgana iş istasyonu üzerinde doğrudan kontrol sağladı.

Buradan itibaren, saldırgan İndirilenler klasörüne bir arşiv bıraktı. Bunu, bir Windows güncellemesini andıran yeni bir klasöre açtı ve içeriğini taşınabilir bir Python, Bun veya Java çalışma zamanı ile çalıştırdı. Dosya adları tek başına zayıf bir sinyaldi, çünkü bir kopyası gerçek çalışma zamanının sürüm ayrıntılarını taşırken yeniden adlandırılmıştı.

Sertifika Saldırgana Ne Kazandırır?

AD CS, kullanıcıların ve bilgisayarların oturum açarken sundukları sertifikaları veren Windows rolüdür. Kötü yapılandırılmış bir şablondan alınan bir sertifika, onu elinde bulunduran kişinin, sertifikada adı geçen hesap olarak oturum açmasına olanak tanır.

Microsoft, böyle bir sertifikanın, hesabın parolası sıfırlandıktan veya ilk makine silindikten sonra bile çalışmaya devam ettiğini belirtti. Bu nedenle hiçbir adım, saldırganın erişimini sonlandırmadı.

Vaka 1: Ayrıcalıklı Sertifikalar ve Kapsam Dışı Kalma Boşluğu

İlk saldırıda, saldırganlar ESC1 olarak bilinen bir zayıflığa sahip bir sertifika şablonu buldu. Bu tür bir şablonla, talep eden kişi sertifikanın temsil edeceği hesabı adlandırabilir. Böylece düşük ayrıcalıklı bir kullanıcı, ayrıcalıklı bir hesap adına bir sertifika talep edebilir.

İlk çağrı dalgası üç kullanıcıyı ve bir iş istasyonunu hedef aldı. Üç yüksek ayrıcalıklı hesap için sertifika üretti. Microsoft Defender’ın otomatik saldırı engelleme özelliği bu kimlikleri kesti ve aktif oturumlarını sonlandırdı. Ancak, bir ayrıcalıklı hesap otomatik yanıttan dışarıda bırakıldığı için kullanılabilir durumda kaldı.

Yaklaşık 90 dakika sonra, daha büyük bir dalga 16 kullanıcıyı ve ikinci bir iş istasyonunu etkiledi. 8 ayrıcalıklı hesap için daha sertifika üretti. Microsoft, daha sonra SMB üzerinden dosyalara ulaşmak veya oturum açmak için yapılan 1.000’den fazla girişimin engellendiğini belirtti.

Sertifikayı elde ettikten saniyeler sonra, saldırgan bir alan denetleyicisine giriş yaptı. Active Directory’den parola verilerini kopyalamak için bir araç olan DCSync’i çalıştırdı. Kapsam dışı bırakma devreye girdiğinde işlem zaten başlamıştı. Bu da ne kadarının çoğaltılabileceğini sınırladı. Microsoft, saldırganın ne kadar kimlik bilgisi elde ettiğini belirtmedi.

Dışarıda bırakılan hesap bir açılış noktasıydı. Saldırgan bunu kullanmaya devam etti, bir dosya sunucusuna ulaştı. Verileri bir paylaşımdan harici bir SFTP sunucusuna taşımak için yeniden adlandırılmış bir dosya kopyalama aracı olan Rclone’u çalıştırdı. Microsoft, ne kadar veri alındığını belirtmedi.

Bu vaka, Microsoft’un ifadesiyle, “kısmi kimlik kapsama alanının saldırı faaliyetini azaltabileceğini ancak yine de geçerli bir ayrıcalıklı yol bırakabileceğini” gösteriyor.

Vaka 2: Alan Denetleyicisi için Bir Sertifika

İkinci saldırı aynı şekilde başladı ancak bu şablon zayıflığı mevcut olmadığı için farklı bir yön aldı. Saldırgan bunun yerine PetitPotam adı verilen bir teknik kullanarak bir alan denetleyicisini, saldırganın kontrol ettiği bir makineye kimlik doğrulaması yapmaya zorladı.

Bu NTLM oturum açma, AD CS web kayıt sayfasına iletildi (ESC8 olarak bilinen bir kötüye kullanım), parola gerektirmeden. Saldırgan, iletilen oturum açmayı kullanarak alan denetleyicisinin kendisi için bir sertifika talep etti. Bu sertifika ve Kerberos (PKINIT) ile saldırgan, alan denetleyicisi için bir bilet verme bileti (TGT) elde etti. Böylece tek seferlik iletilen bir oturum açmayı kalıcı bir kimliğe dönüştürdü.

Burada yanıt etkili oldu. Defender ESC8 uyarıları verdi, müşteri iş istasyonunu izole etti ve Microsoft, daha fazla faaliyetin izlenmediğini belirtti.

İkisi arasındaki fark, kapsama alanına bağlıydı. Birincisinde, otomatik kesinti saldırının çoğunu engelledi, ancak dışarıda bırakılan bir hesap açık kaldı. İkincisinde ise tek bir iş istasyonunun izole edilmesi saldırıyı durdurdu.

Savunmacılar Ne Yapabilir?

Burada bir yazılım hatası olmadığı için bir yama bulunmamaktadır. Microsoft’un tavsiyeleri yapılandırma ve yanıtla ilgilidir.

• Çalışanların, ekran paylaşmadan veya uzaktan kontrolü devretmeden önce bilinen bir dahili kanal aracılığıyla beklenmedik destek taleplerini onaylamasını sağlayın. Hangi harici Teams kiracılarının çalışanlara ulaşabileceğini sınırlayın ve yalnızca onaylanmış uzaktan destek araçlarına izin verin.
• Oturum açma sertifika şablonlarını, talep edenin hesabı adlandırmasına izin veren veya çok fazla kullanıcının kaydolabileceği şablonlar açısından gözden geçirin ve gereksiz kayıt haklarını kaldırın.
• Web kayıt uç noktalarında HTTPS’yi zorunlu kılın ve Kimlik Doğrulama için Genişletilmiş Koruma’yı (EPA) açın ve mümkünse NTLM’yi kapatın. Microsoft’un KB5005413 bu konuyu kapsar ve Kimlik için Defender duruş kontrolleri ESC1 ve ESC8’e maruz kalan şablonları ve uç noktaları işaretler.
• Sertifika denetimini açın. Kötü bir sertifika düzenlendiyse, iptal edin, ancak iptalin zaten düzenlenmiş Kerberos biletlerini iptal etmediğini unutmayın; aktif biletleri ayrı ayrı gözden geçirin.
• Otomatik kapsama alanının dışında bırakılan herhangi bir hesabı kasıtlı bir karar olarak değerlendirin ve yerine manuel bir eylem atayın.

Bilinenler ve Bilinmeyenler

Microsoft, saldırıları herhangi bir belirli grupla ilişkilendirmedi ve ne zaman gerçekleştiğine dair tarihler vermedi.

Kullanılan yöntemler yeni değil. Araştırmacılar, ESC1 ve ESC8 sertifika zayıflıklarını 2021’de adlandırdı ve PetitPotam zorlama hilesi aynı yıl açıklandı. Microsoft’un kendisi, Teams yardım masası-uzaktan erişim giriş yöntemini 2026’nın başlarında belgelemişti.

Bu raporun eklediği şey, iki tekniğin gerçek saldırılarda bir araya gelmesi ve dışarıda bırakılan hesapla ilgili derstir.

Daha yeni Windows sürümleri ESC8 adımına daha az maruz kalmaktadır. Microsoft, Windows Server 2025’te AD CS için EPA’yı varsayılan olarak açtı, oysa Server 2022 ve 2019’da manuel olarak etkinleştirilmesi gerekmektedir.

Göstergeler ve Tespitler

Microsoft’un raporu, Teams, uç noktalar ve kimlik sinyalleri genelinde Defender uyarılarını ve “soruşturma için başlangıç noktaları” olarak adlandırdığı, ancak tek başına kanıt olmayan dört gelişmiş avcılık sorgusunu listeliyor. Ayrıca, ilk erişim komut dosyalarıyla ilişkili üç dosya karması yayınladı:

• SHA-256 85b6c424117494d3056e88689dbc94c75e9afdb187a339714043aec0da109f17 (JavaScript ilk erişim komut dosyası)
• SHA-256 f326201269f1ee2f803ae435317507263bb6e0dbfdeb70bd1bb5446e2e46f001 (Python ilk erişim komut dosyası)
• SHA-256 06c5c14f043aee3bcc5843b5f50909623d5c9a6239a7c1fba9cddad4111469e7 (Python ilk erişim komut dosyası)