攻擊者在 Teams 假冒 IT 支援，再濫用 AD CS 竊取企業資料
原始來源： The Hacker News · 2026/11/02
Microsoft 調查兩起入侵：攻擊者在 Microsoft Teams 假冒公司 IT／服務台，誘騙員工開啟 Windows 內建的 Quick Assist 交出遠端控制，再濫用設定不當的 Active Directory 憑證服務（AD CS）取得高權限帳號甚至網域控制站憑證。其中一起已將檔案複製到外部伺服器。Teams 本身沒有被利用的軟體漏洞，關鍵在社交工程與 AD CS 設定。建議限制外部租戶傳訊、審核憑證範本，並完整執行身分封鎖。
重點先看
攻擊者以 Teams 假冒 IT 支援取得 Quick Assist 遠端控制，再透過 AD CS 的 ESC1／ESC8 取得高權限憑證並竊取資料。請限制外部租戶、審核憑證範本，並確保自動封鎖沒有遺漏帳號。
發生了什麼
The Hacker News 於 2026/11/02 整理 Microsoft 調查報告指出，攻擊者在 Microsoft Teams 以公司外部租戶、支援相關名稱假冒 IT 或服務台，透過訊息與通話誘騙員工開啟 Windows 內建的 Quick Assist，並回報連線代碼，從而取得工作站的遠端控制。取得控制後，攻擊者把壓縮檔放到「下載」資料夾、解壓至仿造 Windows 更新名稱的目錄，再以可攜式執行環境執行內容。 後續核心手法不是 Teams 的軟體漏洞，而是 Active Directory 憑證服務（AD CS）設定不當。AD CS 核發的登入憑證可代表指定帳號；一旦範本允許申請者自行指定主體，或 Web 註冊端點可被 NTLM 轉送濫用，低權限身分也可能換成高權限憑證。Microsoft 未將活動歸因於特定已知組織，也未公布入侵發生日期。
兩起案例差在哪裡
第一起案例中，攻擊者找到具 ESC1 弱點的憑證範本：申請者可指定憑證代表的帳號，因此低權限使用者可申請高權限帳號的憑證。第一波鎖定 3 名使用者與 1 台工作站，取得 3 個高權限帳號憑證；Microsoft Defender 自動攻擊中斷封鎖多數身分，但有一個高權限帳號未納入自動回應而仍可用。約 90 分鐘後第二波鎖定 16 名使用者與另一台工作站，再取得 8 個高權限帳號憑證。攻擊者在取得憑證後數秒內登入網域控制站並執行 DCSync；後續更利用遭遺漏的帳號進入檔案伺服器，以重新命名的 Rclone 將共用資料複製到外部 SFTP。Microsoft 未說明外洩資料量，並指出「部分身分封鎖可能降低攻擊活動，但仍留下可用的高權限路徑」。 第二起案例沒有 ESC1 範本可用，攻擊者改以 PetitPotam 迫使網域控制站向其控制的機器驗證，再把 NTLM 轉送到 AD CS Web 註冊（ESC8），申請網域控制站本身的憑證，並搭配 Kerberos（PKINIT）取得持久身分。此案例中 Defender 發出 ESC8 警示，客戶隔離工作站後未見後續活動。差異顯示：自動封鎖必須涵蓋所有高權限路徑；隔離單一台遭控管工作站，有時就能切斷整條鏈。
建議立即處置
這類攻擊沒有「一鍵修補」，重點在設定與應變： 1. 要求同仁對突如其來的支援要求，先經已知內部管道確認，再分享螢幕或交出遠端控制；只允許核准的遠端支援工具。 2. 限制可聯繫員工的外部 Teams 租戶，降低假冒支援的接觸面。 3. 審查 AD CS 簽入憑證範本：移除可讓申請者自訂主體、或過多人可註冊的範本權限；Web 註冊端點啟用 HTTPS 與延伸驗證保護（EPA），並盡量停用 NTLM（可參考 Microsoft KB5005413）。 4. 開啟憑證稽核。若已核發惡意憑證，應撤銷憑證，並另外檢視仍有效的 Kerberos 票證；撤銷憑證不會自動取消已發出的票證。 5. 把「未納入自動封鎖的帳號」視為必須人工處置的例外，補上手動停用、重設與工作階段撤銷，避免留下高權限後門。
為什麼重要
遠端支援與憑證型登入在企業很常見；一旦社交工程成功，攻擊者不必破解 Teams，也能把工作站變成進入 AD 的跳板。憑證在密碼重設或重灌第一台機器後仍可能有效，因此「只重設密碼」不足以結束事件。 建議以 DevaEye MDR 託管防護為核心，由 7×24 團隊監看可疑遠端支援、AD CS 異常核發與資料外傳跡象，並在自動封鎖有遺漏時接手應變；同時搭配 Netskope 限制外部租戶與協作應用存取，以及 Illumio 微分割縮小橫向擴散範圍。
Cloudforce 可以協助哪些？
面對 Teams 假冒支援、遠端控制濫用與 AD CS 權限提升，建議以 DevaEye MDR 託管防護為主，並搭配下列方案： 1. DevaEye MDR 託管防護：提供 7×24 監控與研判，偵測可疑的遠端支援工作階段、異常端點行為，以及與 AD CS 濫用相關的身分與憑證異常；一旦確認事件，由同一團隊執行隔離、清除與事件追蹤，補足自動封鎖可能遺漏高權限帳號時的應變缺口。 2. Netskope：協助掌握雲端與協作應用的存取，限制未核准的外部租戶或高風險雲端活動，降低假冒支援與資料外傳的接觸面。 3. Illumio（降低勒索橫向擴散）：在取得高權限憑證後，攻擊者常會橫向移動至檔案伺服器或網域控制站；微分割可限制工作站與伺服器之間的不必要連線，縮小擴散範圍。
常見問題
這次是 Microsoft Teams 的漏洞嗎？
不是。Microsoft 指出攻擊未利用 Teams 本身的軟體缺陷，而是靠社交工程取得 Quick Assist 遠端控制，再濫用設定不當的 AD CS。
什麼是 ESC1 與 ESC8？
兩者都是 AD CS 常見的設定濫用路徑。ESC1 讓申請者可指定憑證代表的帳號；ESC8 則透過 Web 註冊端點的 NTLM 轉送，在不需密碼的情況下申請高價值憑證。
重設密碼能不能擋掉這類攻擊？
通常不夠。AD CS 核發的登入憑證在密碼重設或重灌第一台機器後仍可能有效，必須撤銷惡意憑證，並檢視仍有效的 Kerberos 票證與工作階段。
企業應先檢查哪些設定？
先限制外部 Teams 租戶與未核准的遠端支援工具，再審查可自訂主體或過度開放的憑證範本，並為 Web 註冊啟用 EPA、盡量停用 NTLM。
DevaEye MDR 託管防護能如何協助？
DevaEye MDR 提供 7×24 監控與研判，可偵測可疑遠端支援工作階段、端點異常行為，以及與 AD CS 濫用相關的身分與憑證警示，並在確認事件後執行隔離、清除與追蹤，補足自動封鎖遺漏時的應變。