Cosa è successo
Microsoft Threat Intelligence ha pubblicato il 30 ottobre 2026 un’analisi di due intrusioni con impersonificazione dell’helpdesk tramite Teams e sessioni remote, principalmente Quick Assist.
Perché conta
Nel primo caso, l’abuso di un template vulnerabile a ESC1 ha consentito di ottenere certificati per account privilegiati ed eseguire DCSync; è seguita un’esfiltrazione tramite un account privilegiato escluso dal contenimento automatico. Nel secondo, PetitPotam e il relay NTLM verso AD CS Web Enrollment, secondo il percorso ESC8, hanno portato a un certificato per un controller di dominio e all’autenticazione Kerberos PKINIT.
Cosa succede ora
Nel secondo caso, dopo un alert il cliente ha isolato il PC e non è stata osservata ulteriore attività. Per i difensori, Microsoft raccomanda di correlare la telemetria di Teams, degli endpoint e dei certificati e di rivedere i template e le protezioni di AD CS. L’analisi non descrive una vulnerabilità di Teams e non attribuisce le intrusioni a uno specifico gruppo.