Contexte de l'attaque
L’article signale une campagne où des cybercriminels se font passer pour le support informatique d’une organisation via Microsoft Teams. Aucun chiffre n’est fourni sur le nombre de victimes ou la période d’observation, ce qui empêche d’évaluer l’ampleur réelle. Le choix de Teams comme vecteur s’appuie sur la forte adoption de la plateforme de collaboration dans les entreprises, ainsi que sur la confiance implicite que les utilisateurs accordent aux messages provenant de canaux internes.
Mécanisme d'usurpation sur Microsoft Teams
Les attaquants créent ou compromettent des comptes Teams afin d’envoyer des messages contenant des liens ou des pièces jointes. L’article ne précise pas la méthode d’obtention des comptes (phishing, credential stuffing, etc.), mais il indique que les messages imitent le ton et le format du support IT, incluant souvent des demandes de connexion à distance ou de mise à jour de logiciels. Cette forme de social engineering exploite la visibilité des conversations Teams, rendant la détection difficile sans analyse comportementale.
Exploitation d’Active Directory Certificate Services
Après avoir obtenu la coopération de la victime, les acteurs utilisent Active Directory Certificate Services (AD CS) pour demander des certificats d’authentification. Aucun détail n’est donné sur la version d’AD CS ni sur les modèles de requête employés. Le processus typique consiste à soumettre une demande de certificat via le service web d’AD CS, parfois en contournant les contrôles d’approbation grâce à des modèles mal configurés. Le certificat ainsi émis peut être utilisé pour établir des connexions TLS authentifiées vers les serveurs internes, facilitant le vol de données ou l’accès à des ressources protégées.
Recommandations de mitigation
En l’absence d’indicateurs chiffrés, les bonnes pratiques restent les références principales. Il est recommandé de restreindre la création de comptes Teams aux administrateurs, d’activer l’authentification multifacteur pour tous les comptes, et de surveiller les flux de messages pour détecter les modèles de phishing. Du côté d’AD CS, les organisations doivent auditer les modèles de certificats, désactiver les modèles qui permettent l’émission de certificats à usage général, et appliquer des contrôles d’approbation manuelle pour chaque demande. La journalisation détaillée des requêtes de certificat et l’intégration avec un SIEM permettent de repérer les anomalies de volume ou de destination.
