Des attaquants se faisant passer pour le support informatique sur Microsoft Teams ont transformé des sessions à distance approuvées par les utilisateurs en accès aux systèmes d'authentification de l'entreprise, dans deux intrusions étudiées par Microsoft Threat Intelligence. Son rapport du 30 octobre décrit comment des configurations de certificats non sécurisées ont permis ces attaques, dont l'une a abouti à un vol de données malgré le confinement automatique.
Ces constats concernent les organisations qui utilisent Active Directory Certificate Services (AD CS), l'infrastructure de Microsoft pour la délivrance de certificats numériques. D'autres révélations détaillent les alertes de logiciels espions Apple reçues par des députés allemands et des personnalités publiques, ainsi que l'extradition d'un Canadien accusé d'avoir piraté des ordinateurs d'universités américaines pour miner des cryptomonnaies.
D'un appel d'assistance à l'authentification privilégiée
Microsoft a étudié deux intrusions menées par des opérateurs humains, qui ont débuté par des messages et des appels Teams usurpant l'identité du personnel du service d'assistance. Les attaquants ont convaincu les utilisateurs d'approuver l'accès à distance, principalement en ouvrant Assistance rapide et en fournissant un code de connexion. Dans l'ensemble de l'activité, des noms de locataires à thème organisationnel onmicrosoft.com et des noms d'affichage liés au support aidaient les contacts externes à sembler familiers.
Les attaques reposaient sur l'ingénierie sociale et sur des paramètres AD CS peu sûrs ou trop permissifs, et non sur une vulnérabilité de Teams. Microsoft n'a pas attribué cette activité à un acteur de la menace précis.
Une fois le contrôle obtenu, les attaquants ont placé une archive dans le dossier Téléchargements de l'utilisateur, l'ont extraite dans un répertoire nouvellement créé, préfixé KB, sous le profil utilisateur, puis ont lancé des scripts via des runtimes Python, Bun ou Java portables. Bun est un runtime JavaScript ; dans une variante, son exécutable avait été renommé mais conservait ses métadonnées de version d'origine. Une autre variante utilisait un runtime Java portable pour exécuter un fichier source Java.
Les scripts vérifiaient les versions de Windows, les paramètres réseau et les processus en cours, puis évaluaient les services de certificats. Le poste compromis se connectait aussi à l'infrastructure du domaine via LDAPS, un protocole chiffré d'accès aux annuaires, et via SMB, utilisé pour le partage de fichiers Windows et d'autres opérations réseau.
Les deux intrusions ont ensuite divergé :
- Le cas 1 a exploité un abus de modèle de certificat ESC1. Un modèle mal configuré permettait à un demandeur peu privilégié de fournir l'identité d'un autre utilisateur et d'obtenir des certificats d'authentification pour des comptes privilégiés. L'attaquant a effectué une opération DCSync, qui détourne la réplication de l'annuaire pour obtenir des données d'identification. Microsoft a indiqué que la perturbation automatique des attaques de Defender avait restreint les identités couvertes et bloqué une part importante de l'activité consécutive, mais qu'une identité privilégiée exclue du confinement était restée utilisable et avait ensuite servi à exfiltrer des données.
- Le cas 2 a exploité un relais d'authentification ESC8. L'attaquant a utilisé PetitPotam pour amener un contrôleur de domaine à s'authentifier auprès d'un système qu'il contrôlait, puis a relayé cette authentification NTLM vers AD CS Web Enrollment, une interface de demande de certificats dépourvue de protections contre le relais. L'attaquant a obtenu un certificat pour le compte du contrôleur de domaine et l'a utilisé avec PKINIT, une authentification Kerberos basée sur certificat. Après que Defender a généré des alertes liées à ESC8, le client a isolé le poste associé ; Microsoft n'a observé aucune progression supplémentaire.
Un certificat d'authentification délivré peut rester utile indépendamment du mot de passe initialement compromis. Réinitialiser ce mot de passe ou réinstaller le premier poste ne révoque pas le certificat et n'invalide pas les tickets d'authentification Kerberos déjà émis.
Ce que les défenseurs en entreprise peuvent investiguer
Microsoft conseille aux enquêteurs de relier la session d'assistance à distance à l'activité ultérieure sur les processus, le réseau, les identités et les certificats. Un nom de fichier ou la simple présence de Java ou de Bun constitue une preuve faible. Un schéma plus probant consiste en un runtime portable exécutant des scripts depuis un répertoire nouvellement créé et accessible en écriture par l'utilisateur, immédiatement après une session distante non autorisée, suivi de commandes de découverte ou de connexions à l'infrastructure d'identité.
Ses requêtes de chasse publiées utilisent des fenêtres de sept jours pour rechercher les conversations Teams externes et les signaux d'usurpation disponibles ; Bun ou Java exécutant des fichiers .js ou .java depuis des répertoires AppData\Roaming\KB suivis de chiffres ; et les connexions de ces runtimes préparés vers les ports 80, 445, 636 et 88. D'autres requêtes croisent les alertes de relais NTLM, de services de certificats, de PKINIT et de tickets Kerberos avec les preuves qui les étayent.
La couverture de Defender comprend l'activité Teams externe suspecte, l'exécution de scripts, l'énumération AD CS et les demandes de certificats, l'abus ESC1 et ESC8, le relais NTLM, l'authentification Kerberos basée sur certificat et DCSync. Microsoft indique que la disponibilité des alertes dépend de la configuration et des capteurs activés. Les enquêteurs doivent vérifier les champs disponibles, ajuster les recherches pour écarter l'activité légitime et corréler les résultats ; une correspondance isolée n'est qu'une piste d'enquête.
Microsoft a aussi publié trois empreintes de fichiers SHA-256 :
- JavaScript d'accès initial :
85b6c424117494d3056e88689dbc94c75e9afdb187a339714043aec0da109f17 - Script Python d'accès initial :
f326201269f1ee2f803ae435317507263bb6e0dbfdeb70bd1bb5446e2e46f001 - Script Python d'accès initial :
06c5c14f043aee3bcc5843b5f50909623d5c9a6239a7c1fba9cddad4111469e7
Pour les équipes de réponse, le premier cas illustre la conséquence concrète des exclusions de confinement : la perturbation automatique peut laisser intact l'accès de l'attaquant lorsqu'une identité privilégiée compromise se trouve hors de son périmètre.
Un Canadien extradé dans l'affaire de minage à l'université
Dans une annonce distincte du 3 novembre, le bureau du procureur fédéral des États-Unis pour le district ouest de l'État de New York a indiqué que Ryan James Roach, 35 ans, de Saskatchewan, avait été extradé du Canada le 28 octobre. Roach et Mathiew James Stubbings, 41 ans, de l'Ontario, font face à des accusations liées à un système présumé visant à voler des identifiants et à utiliser les ressources informatiques universitaires pour miner des cryptomonnaies entre juin 2016 et décembre 2019.
L'acte d'accusation affirme que les prévenus ont visé des établissements d'enseignement disposant de superordinateurs dans l'État de New York, au Tennessee, en Caroline du Nord et au Massachusetts. Ils auraient recherché des vulnérabilités réseau, déployé des logiciels malveillants, volé des identifiants de connexion et les auraient transférés vers des serveurs qu'ils contrôlaient, tout en forçant les ordinateurs des victimes à miner des cryptomonnaies à leur profit.
Selon les procureurs, des serveurs privés virtuels établis dans plusieurs pays, enregistrés sous de faux noms, ont distribué des logiciels malveillants et des logiciels de minage, et stocké les identifiants volés. Les prévenus auraient aussi utilisé des ordinateurs compromis appartenant à une autre victime pour dissimuler leur identité, puis mené des opérations de reconnaissance et étendu leur accès à l'intérieur des réseaux. L'acte d'accusation fait état de dommages à au moins dix ordinateurs protégés sur une période d'un an, et de pertes d'au moins 5 000 dollars, dont des dommages subis par un établissement d'enseignement supérieur de l'ouest de l'État de New York.
Les chefs d'accusation portent sur la conspiration en vue d'obtenir des informations auprès d'ordinateurs protégés et de les endommager, l'obtention d'informations depuis des ordinateurs protégés, et les dommages intentionnels causés à des ordinateurs protégés. L'annonce mentionne une peine maximale de dix ans de prison et une amende de 250 000 dollars. Les deux prévenus sont présumés innocents jusqu'à preuve de leur culpabilité.
Roach a comparu et a été placé en détention dans l'attente d'une audience sur la détention prévue le 3 novembre. La procédure d'extradition de Stubbings se poursuivait encore au Canada. L'affaire fait suite à une enquête du FBI et de la section Computer Crime and Intellectual Property Section du ministère de la Justice, l'Office of International Affairs du ministère ayant apporté son aide à l'arrestation et à l'extradition de Roach.
Des députés allemands reçoivent des alertes de logiciels espions Apple
L'Office fédéral allemand de la sécurité de l'information, le BSI, a indiqué que plusieurs membres du Bundestag et d'autres personnalités publiques avaient reçu des notifications de menace d'Apple depuis le 29 octobre. Les alertes concernent les logiciels espions mercenaires : des logiciels de surveillance développés commercialement, historiquement utilisés fréquemment pour le compte d'acteurs étatiques contre des personnes ciblées.
Le BSI indique qu'Apple décrit ces notifications comme des avertissements de ciblage très fiables, même si elles n'établissent pas si une attaque a réussi. L'agence recommande aux destinataires de considérer que leurs appareils peuvent être compromis, en particulier s'ils ont remarqué des plantages inhabituels ou une décharge rapide de la batterie. Il a alerté les membres du Bundestag par une lettre du 30 octobre et a demandé aux personnes concernées de le contacter directement.
Ce type de logiciel espion peut infecter un appareil sans intervention de l'utilisateur, par exemple au moyen d'un message spécialement conçu qu'il n'est pas nécessaire d'ouvrir, appelé attaque zero-click. Pegasus, de NSO Group, en est un exemple notable. Sur un appareil compromis, les attaquants peuvent accéder aux messages, y compris ceux des services de messagerie chiffrée, aux appels, aux contacts, aux agendas et à la localisation, et activer le microphone et la caméra.
Le BSI indique que les notifications authentiques apparaissent sur l'écran verrouillé de l'iPhone et dans Réglages, arrivent par e-mail aux adresses liées à l'identifiant Apple, et figurent en haut de la page du compte après connexion. Apple ne demande pas aux destinataires de suivre des liens, d'ouvrir des fichiers, d'installer des applications ou des profils, ni de communiquer des mots de passe ou des codes de vérification. Toute personne qui doute de l'authenticité doit saisir directement account.apple.com dans un navigateur.
Les destinataires devraient mettre immédiatement à jour le système d'exploitation, sauf si une analyse forensique est prévue. Le BSI recommande aussi d'envisager le Lockdown Mode, accessible via Réglages > Confidentialité et sécurité > Lockdown Mode, puis de l'activer et de redémarrer l'appareil. Il faut le garder activé, y compris sur un appareil de remplacement, et installer rapidement les mises à jour à venir. Il rend les nouvelles attaques plus difficiles, mais ne supprime pas une infection existante. Il restreint certaines pièces jointes, les aperçus de liens et les appels FaceTime provenant d'inconnus ; les appels ordinaires et les messages texte de base continuent de fonctionner.
Les personnes qui jugent le risque de compromission élevé devraient envisager de remplacer l'appareil, de réinitialiser les comptes utilisés dessus et de changer de numéro de téléphone. Les mesures complémentaires du BSI consistent à :
- définir un code d'accès distinct pour l'appareil ; Face ID et Touch ID ne le remplacent pas ;
- modifier les mots de passe de l'identifiant Apple, de la messagerie et des autres comptes, et activer l'authentification à deux facteurs là où elle n'est pas en place ;
- ajouter un nouveau numéro de téléphone de confiance avant de supprimer l'ancien, et reconfigurer les applications d'authentification service par service, plutôt que de les transférer depuis l'ancien appareil ;
- activer le verrouillage d'inscription de Signal et la validation en deux étapes de WhatsApp avec de nouveaux identifiants, puis examiner les appareils associés dans ces deux services et dans l'identifiant Apple, en supprimant les entrées non reconnues.
Le BSI demande aux destinataires de notifications de les signaler à [email protected], afin de pouvoir évaluer l'ampleur du phénomène et fournir une assistance.
