--- title: "Podszywanie się pod help desk otworzyło drogę do nadużycia AD CS" description: "Microsoft przeanalizował dwa włamania rozpoczęte od podszywania się pod help desk w Microsoft Teams i zdalnej sesji Quick Assist. Atakujący wykorzystali błędne konfiguracje AD CS, ścieżki ESC1 i ESC8 oraz certyfikaty do uzyskania dostępu do uprzywilejowanych tożsamości." publisher: "Najnowsze Informacje" language: "pl-PL" canonical_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/podszywanie-sie-pod-help-desk-otworzylo-droge-do-naduzycia-ad-cs" markdown_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/podszywanie-sie-pod-help-desk-otworzylo-droge-do-naduzycia-ad-cs/index.md" date_published: "2026-11-06T17:45:42.151Z" date_modified: "2026-11-06T17:45:42.151Z" author: "Redakcja" category: "Cyberbezpieczeństwo" tags: - "cyberbezpieczeństwo" - "ad cs" - "esc1" - "esc8" - "microsoft teams" source_url: "https://www.microsoft.com/en-us/security/blog/2026/10/30/help-desk-impersonation-ad-cs-abuse-investigating-esc1-esc8-intrusion-paths/" source_name: "Microsoft Security Blog" image_url: "https://najnowsze-informacje.pl/api/media/file/cyberbezpieczenstwo-unsplash-1793386970520.jpeg" image_alt: "red padlock on black computer keyboard" image_credit: "© FlyD / Unsplash" image_credit_url: "https://unsplash.com/@flyd2069" --- # Podszywanie się pod help desk otworzyło drogę do nadużycia AD CS > Microsoft opisał dwa włamania, w których fałszywe wsparcie w Teams doprowadziło do nadużycia certyfikatów i dostępu do uprzywilejowanych kont. ## Kluczowe informacje - Ataki zaczynały się od wiadomości i połączeń w Teams, a następnie zdalnej sesji zatwierdzonej przez użytkownika. - Atakujący uruchamiali przenośne środowiska Python, Bun lub Java i badali infrastrukturę Active Directory. - W jednym przypadku wykorzystano podatny szablon ESC1, w drugim przekazano uwierzytelnienie NTLM do AD CS przez ścieżkę ESC8. - Skuteczna reakcja wymaga korelacji danych z endpointów, systemów tożsamości, certyfikatów i Kerberosa. Microsoft Threat Intelligence opisał dwa włamania prowadzone przez ludzi, które rozpoczęły się od podszywania się pod pracowników IT lub help desku w Microsoft Teams. Atakujący kontaktowali się z użytkownikami przez wiadomości i połączenia, a następnie przekonywali ich do uruchomienia Quick Assist lub innego narzędzia zdalnego wsparcia i przekazania kodu połączenia. Po uzyskaniu zatwierdzonego przez użytkownika dostępu zdalnego badali komputer, sieć i usługi tożsamości, a później wykorzystali różne ścieżki nadużycia Active Directory Certificate Services, znanego jako AD CS. ## Od fałszywego wsparcia do infrastruktury certyfikatów Wspólny początek obu incydentów był podobny. Zewnętrzny kontakt wyglądał wiarygodnie dzięki nazwom dzierżawców onmicrosoft.com nawiązującym do organizacji oraz nazwom wyświetlanym kojarzącym się z pomocą techniczną. Użytkownik był nakłaniany do uruchomienia sesji zdalnej, najczęściej w Quick Assist, co dawało atakującemu możliwość wykonywania działań na komputerze przy aktywnej sesji. Nie była to luka w Microsoft Teams. Kluczową rolę odegrały socjotechnika, zgoda użytkownika oraz niebezpieczne lub zbyt liberalne ustawienia usług certyfikatów. Po przejęciu kontroli atakujący umieszczali w katalogu Pobrane archiwum, tworzyli w profilu użytkownika nowy katalog roboczy i rozpakowywali do niego pliki. Następnie uruchamiali dołączone środowisko wykonawcze Python, Bun lub Java, bez konieczności korzystania z typowej instalacji systemowej. Kod wykonywał rozpoznanie hosta i sieci, a także sprawdzał możliwości uzyskania certyfikatu używanego do uwierzytelniania. Wybór środowiska zmieniał się między wdrożeniami, ale schemat pozostawał podobny. - Kontakt w Teams był przedstawiany jako pomoc IT lub help desk. - Użytkownik sam uruchamiał sesję Quick Assist albo inne narzędzie zdalnego wsparcia. - Archiwum i przenośne środowisko uruchomieniowe trafiały do nowego, zapisywalnego katalogu profilu. - Po rozpoznaniu komputera i sieci atakujący analizowali konfigurację AD CS. - Dalszy przebieg zależał od tego, czy środowisko pozwalało na nadużycie ESC1, czy ESC8. ## Przypadek pierwszy, certyfikaty uprzywilejowanych kont przez ESC1 W pierwszym przypadku atakujący znaleźli szablon certyfikatu podatny na ESC1. Taka konfiguracja pozwala osobie składającej wniosek podać informacje o tożsamości, która ma zostać zapisana w certyfikacie. Jeżeli jednocześnie szerokie grono użytkowników może korzystać z szablonu, a proces wydawania nie wymaga wystarczających kontroli, konto o niskich uprawnieniach może uzyskać certyfikat reprezentujący konto uprzywilejowane. Certyfikat staje się wtedy alternatywnym sposobem uwierzytelnienia, niezależnym od znajomości hasła przejmowanej tożsamości. Pierwsza fala wiadomości w Teams była skierowana do trzech kont użytkowników, a atakujący przejęli jeden komputer. Z tego punktu uzyskali certyfikaty dla trzech wysoko uprzywilejowanych kont. Microsoft Defender Attack Disruption ograniczył dostęp do przejętego użytkownika i tych tożsamości, między innymi blokując logowania zdalne oraz dostęp SMB i rozłączając aktywne sesje. Jedno uprzywilejowane konto było jednak wyłączone z automatycznej reakcji, dlatego ograniczenia nie objęły tej tożsamości. Około 90 minut po przerwaniu pierwszej sesji rozpoczęła się większa fala, obejmująca 16 użytkowników. Tym razem zaatakowany został kolejny komputer, a przez ten sam podatny szablon uzyskano certyfikaty dla ośmiu następnych uprzywilejowanych kont. Mechanizm ochronny objął nowo przejętego użytkownika i te osiem tożsamości. Zablokowano ponad 1000 kolejnych prób dostępu do plików przez SMB oraz dodatkowe próby logowania, co ograniczyło możliwość przemieszczania się po sieci. Ochrona nie zatrzymała jednak całej aktywności natychmiast. W ciągu kilku sekund od uzyskania jednego z uprzywilejowanych certyfikatów atakujący uwierzytelnili się na kontrolerze domeny i rozpoczęli operację DCSync. Dalsze użycie tej ścieżki zostało ograniczone, ale sama operacja już się rozpoczęła. Konto pominięte w pierwszej reakcji pozostało dostępne, dzięki czemu atakujący mogli wykonywać logowania sieciowe i interaktywne, dotrzeć do serwera plików oraz uruchomić narzędzie do kopiowania danych na zewnętrzny serwer SFTP. Incydent pokazał, że częściowe objęcie tożsamości reakcją może ograniczyć skalę ataku, ale pozostawienie jednego uprzywilejowanego konta tworzy nadal użyteczną drogę dostępu. ## Przypadek drugi, przekazanie uwierzytelnienia przez ESC8 W drugim środowisku ścieżka ESC1 nie była dostępna. Atakujący wykorzystali technikę PetitPotam, która powoduje, że serwer Windows uwierzytelnia się wobec systemu kontrolowanego przez atakującego. W tym przypadku żądania związane z EFSRPC doprowadziły do uwierzytelnienia kontrolera domeny przy użyciu jego konta komputera. Następnie uwierzytelnienie NTLM zostało przekazane do usługi AD CS Web Enrollment. Dzięki temu atakujący nie musieli znać hasła konta kontrolera domeny. Ten wariant jest określany jako ESC8. Dotyczy punktu rejestracji certyfikatów, który przyjmuje NTLM bez odpowiedniej ochrony przed przekazaniem uwierzytelnienia. Serwer AD CS zaakceptował konto komputera kontrolera domeny, mimo że połączenie pochodziło z innego urządzenia. Taka niezgodność między uwierzytelnioną tożsamością a urządzeniem źródłowym jest ważnym sygnałem dla analityków. Powinna zostać zestawiona z danymi urządzenia, wnioskiem do urzędu certyfikacji, wydanym certyfikatem oraz późniejszym użyciem Kerberosa. Po uwierzytelnieniu w Web Enrollment atakujący uzyskali certyfikat oparty na szablonie kontrolera domeny. Następnie użyli go w PKINIT, czyli początkowym uwierzytelnianiu Kerberos opartym na certyfikacie, aby otrzymać bilet TGT dla konta kontrolera domeny. W ten sposób przekazane uwierzytelnienie NTLM zostało przekształcone w dostęp oparty na certyfikacie i Kerberosie. Microsoft Defender wygenerował alerty dotyczące ESC8, a klient odizolował komputer powiązany z rejestracją certyfikatu i aktywnością Kerberos. Po izolacji nie zaobserwowano dalszego rozwoju ataku. ## Jak badać podobny łańcuch włamania Najważniejsze dowody nie znajdują się w pojedynczej nazwie pliku, porcie ani poleceniu. Dochodzenie powinno odtworzyć cały łańcuch w systemach współpracy, na endpointach, w usługach tożsamości i w infrastrukturze certyfikatów. Należy połączyć moment kontaktu w Teams, szczegóły sesji zdalnej, urządzenie inicjujące, utworzenie katalogu roboczego, uruchomienie przenośnego środowiska, działania rozpoznawcze, wniosek o certyfikat, zapis wydania certyfikatu oraz późniejsze logowania i sesje Kerberos. Samo użycie Bun, Javy lub Pythona nie jest dowodem włamania. Większą wartość ma połączenie kilku sygnałów: przenośne środowisko uruchomione z nietypowej lokalizacji, nowo utworzony katalog zapisywalny przez użytkownika, niespodziewana sesja zdalnego wsparcia, wykonywanie skryptów lub rozpoznania oraz komunikacja z infrastrukturą domenową. Nazwy plików również są słabym wskaźnikiem, ponieważ atakujący mogą zmieniać nazwy narzędzi. W analizie należy opierać się na procesie inicjującym, koncie, urządzeniu, czasie i powiązanych zdarzeniach certyfikatowych. - Sprawdzić, czy sesja zdalnego wsparcia była oczekiwana, kto ją zatwierdził i jakie działania wykonano podczas połączenia. - Przejrzeć szablony AD CS, uprawnienia do ich używania oraz zasady wydawania certyfikatów dla kont i urządzeń. - Zweryfikować ochronę usługi Web Enrollment przed przekazywaniem uwierzytelnienia NTLM i przeanalizować nietypowe relacje między kontem a urządzeniem źródłowym. - Korelować wnioski i wydania certyfikatów z logowaniami Kerberos, użyciem biletów oraz aktywnością na kontrolerach domeny. - W razie potwierdzenia nadużycia rozważyć izolację urządzenia, przegląd wyłączeń z automatycznej reakcji, unieważnienie certyfikatów i niezależny przegląd biletów Kerberos. Opisane incydenty pokazują, że zaakceptowana przez użytkownika sesja zdalna nie musi pozostać lokalnym problemem jednego komputera. Może stać się punktem wejścia do rozpoznania domeny, a następnie do wykorzystania certyfikatów jako alternatywnych poświadczeń dla uprzywilejowanych kont. W pierwszym przypadku ograniczenie części tożsamości zmniejszyło skalę dalszych działań, lecz wyłączone z reakcji konto nadal pozwalało na dostęp do danych. W drugim szybka izolacja urządzenia po alertach zatrzymała obserwowany łańcuch. Żaden z opisanych przypadków nie został przypisany konkretnemu ugrupowaniu, ale oba wskazują na potrzebę łączenia ochrony przed socjotechniką z audytem konfiguracji AD CS i monitorowaniem certyfikatowego uwierzytelniania. ## Wyjaśnienie pojęć ### [Active Directory Certificate Services](https://najnowsze-informacje.pl/definicje/active-directory-certificate-services) Usługa systemu Windows zarządzająca certyfikatami używanymi między innymi do uwierzytelniania. Jej konfiguracja może tworzyć ścieżki prowadzące do nadużycia uprzywilejowanych tożsamości. ### [ESC1](https://najnowsze-informacje.pl/definicje/esc1) Klasa błędnej konfiguracji szablonu certyfikatu, w której osoba składająca wniosek może podać tożsamość zapisaną w certyfikacie i użyć go do uwierzytelniania. ### [ESC8](https://najnowsze-informacje.pl/definicje/esc8) Ścieżka nadużycia internetowego punktu rejestracji certyfikatów, gdy przyjmuje on uwierzytelnianie NTLM bez wystarczającej ochrony przed przekazaniem uwierzytelnienia. ### [DCSync](https://najnowsze-informacje.pl/definicje/dcsync) DCSync to technika poeksploatacyjna wykorzystywana do pozyskiwania danych uwierzytelniających domeny z usług katalogowych. ### [PKINIT](https://najnowsze-informacje.pl/definicje/pkinit) Mechanizm Kerberosa wykorzystujący certyfikat do początkowego uwierzytelnienia. W opisanym przypadku pozwolił użyć certyfikatu konta kontrolera domeny do uzyskania biletu Kerberosa. ## Źródło pierwotne [Microsoft Security Blog](https://www.microsoft.com/en-us/security/blog/2026/10/30/help-desk-impersonation-ad-cs-abuse-investigating-esc1-esc8-intrusion-paths/) --- ## Informacje do cytowania - **Autor:** Redakcja - **Data publikacji:** 2026-11-06T17:45:42.151Z - **Ostatnia aktualizacja:** 2026-11-06T17:45:42.151Z - **Kategoria:** Cyberbezpieczeństwo - **Adres kanoniczny:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/podszywanie-sie-pod-help-desk-otworzylo-droge-do-naduzycia-ad-cs](https://najnowsze-informacje.pl/cyberbezpieczenstwo/podszywanie-sie-pod-help-desk-otworzylo-droge-do-naduzycia-ad-cs) - **Wersja Markdown:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/podszywanie-sie-pod-help-desk-otworzylo-droge-do-naduzycia-ad-cs/index.md](https://najnowsze-informacje.pl/cyberbezpieczenstwo/podszywanie-sie-pod-help-desk-otworzylo-droge-do-naduzycia-ad-cs/index.md) **Sugerowane cytowanie:** > Najnowsze Informacje, „Podszywanie się pod help desk otworzyło drogę do nadużycia AD CS”, 2026-11-06, https://najnowsze-informacje.pl/cyberbezpieczenstwo/podszywanie-sie-pod-help-desk-otworzylo-droge-do-naduzycia-ad-cs