Finto helpdesk su Teams e abuso di AD CS: come chiudere ESC1 ed ESC8 in azienda

Arriva un messaggio su Teams da un account che si presenta come “Helpdesk IT”, con un nome credibile e un tono urgente: c’è un problema con la posta, serve un controllo veloce. L’utente apre Assistenza rapida, legge il codice a voce e da quel momento qualcun altro ha in mano il suo PC.

Il 30 ottobre Microsoft ha pubblicato l’analisi di due intrusioni partite esattamente così. La parte che interessa a chi gestisce un dominio, però, è quella dopo: in entrambi i casi gli attaccanti sono passati da utente normale ad amministratore sfruttando una Certification Authority interna (AD CS) configurata male. Non c’è una patch da installare, perché non c’è un bug: sono configurazioni deboli, e vanno chiuse a mano.

Chi è coinvolto

Il primo anello riguarda chiunque usi Microsoft Teams con l’accesso esterno aperto a tutti i domini, che è l’impostazione predefinita. Il secondo riguarda le aziende con Active Directory e un ruolo Servizi certificati Active Directory installato, magari anni fa per il Wi-Fi 802.1X o per una VPN, e mai più guardato. Nelle PMI capita più spesso di quanto si pensi: la CA c’è, funziona, e nessuno si ricorda come è stata configurata.

Perché succede

Microsoft descrive due percorsi, noti da anni con le sigle ESC1 ed ESC8:

• ESC1: un modello di certificato valido per l’autenticazione permette a chi lo richiede di indicare il nome dell’utente nel certificato. Un utente qualsiasi chiede quindi un certificato a nome di un amministratore di dominio e lo usa per autenticarsi.
• ESC8: la pagina di Registrazione Web della CA (/certsrv) accetta NTLM senza protezione dal relay. L’attaccante costringe un domain controller ad autenticarsi (la tecnica PetitPotam), inoltra quell’autenticazione alla pagina web e ottiene un certificato del domain controller.

Il dettaglio che preoccupa di più è la persistenza: un certificato continua a funzionare anche dopo il cambio della password o la reinstallazione del PC. E, come sottolinea Microsoft, revocarlo non invalida i ticket Kerberos già emessi.

Prima di iniziare

Prima di toccare la CA fate un backup del database e della chiave privata (da console Autorità di certificazione → tasto destro sulla CA → Tutte le attività → Backup CA) ed esportate l’elenco dei modelli pubblicati:

certutil -CATemplates > C:\Temp\modelli-pubblicati.txt

Attenzione: disattivare NTLM o rendere obbligatorio HTTPS sulla Registrazione Web può bloccare dispositivi o applicazioni che oggi si iscrivono in quel modo. Io preferisco fare ogni modifica su un modello alla volta e lasciar passare qualche giorno prima della successiva.

Primo passo: chiudere la porta su Teams

1. Aprite l’interfaccia di amministrazione di Teams → Utenti → Accesso esterno e, se l’azienda lavora con pochi partner, passate da “consenti tutti i domini esterni” a un elenco di domini consentiti.
2. Valutate se gli utenti hanno davvero bisogno di comunicare con account Teams non gestiti (quelli personali): in molte PMI la risposta è no.
3. Se per l’assistenza usate un altro strumento, rimuovete Assistenza rapida dai PC. Da PowerShell come amministratore:

Get-AppxPackage -Name MicrosoftCorporationII.QuickAssist -AllUsers | Remove-AppxPackage -AllUsers

E soprattutto dite chiaramente agli utenti come vi contattate davvero: se il “supporto” scrive da un account esterno, non è il supporto.

Secondo passo: verificare i modelli di certificato (ESC1)

1. Sulla CA aprite certtmpl.msc e controllate solo i modelli presenti nell’elenco esportato prima: quelli non pubblicati non si possono richiedere.
2. Per ciascuno, nella scheda Nome soggetto, verificate se è selezionata l’opzione che fa indicare il nome nella richiesta (“Supply in the request” sui server in inglese).
3. Se sì, guardate la scheda Estensioni: se tra gli utilizzi compare Autenticazione client (o Smart card logon) e nella scheda Sicurezza possono registrarsi Domain Users o Authenticated Users, quel modello è il problema.
4. Togliete i permessi di registrazione ai gruppi generici, oppure nella scheda Requisiti di rilascio attivate l’approvazione del responsabile della CA. Se il modello non serve più, rimuovetelo dalla CA (console Autorità di certificazione → Modelli di certificato → Elimina).

Terzo passo: proteggere la Registrazione Web (ESC8)

Verificate prima se il servizio è installato:

Get-WindowsFeature ADCS-Web-Enrollment, ADCS-Enroll-Web-Svc

Se nessuno lo usa, la soluzione migliore è rimuoverlo con Uninstall-AdcsWebEnrollment. Se serve, seguite le indicazioni dell’articolo Microsoft KB5005413:

1. In Gestione IIS, sul sito CertSrv → Autenticazione → Autenticazione di Windows → Impostazioni avanzate, impostate Protezione estesa su “Obbligatoria”.
2. In Impostazioni SSL attivate “Richiedi SSL”, così la pagina risponde solo in HTTPS.
3. Se usate anche il Servizio Web di registrazione certificati, aggiungete <extendedProtectionPolicy policyEnforcement="Always" /> nel web.config indicato nell’articolo.
4. Riavviate IIS:

iisreset /restart

Su Windows Server 2025 la Protezione estesa è già attiva per impostazione predefinita; su 2022 e 2019 va configurata a mano. Dove possibile, lasciate solo Kerberos: in IIS, nei Provider dell’autenticazione di Windows, tenete Negotiate:Kerberos.

Quarto passo: attivare il controllo dei certificati

Senza audit non saprete mai se qualcuno ha già chiesto un certificato che non doveva. Sulla CA:

auditpol /set /subcategory:"Certification Services" /success:enable /failure:enable
certutil -setreg CA\AuditFilter 127
net stop certsvc && net start certsvc

Poi date un’occhiata ai certificati già emessi con i modelli che avete corretto: un certificato a nome di un amministratore richiesto da un utente qualsiasi è un campanello d’allarme.

Se il problema persiste

Se trovate un certificato sospetto, revocatelo, ma non fermatevi lì: come ricorda Microsoft, la revoca non annulla i ticket Kerberos già emessi. Io reimposterei anche due volte la password dell’account krbtgt (a distanza di qualche ora) e tratterei l’account coinvolto come compromesso. Se avete Defender for Identity, le sue verifiche sui certificati segnalano da sole le esposizioni ESC1 ed ESC8.

Vi è capitato di trovare una CA dimenticata con modelli troppo permissivi, o messaggi del finto helpdesk su Teams? Raccontate nei commenti cosa avete trovato e come l’avete sistemato: possono essere utili ad altri.