Atacantes se hacen pasar por soporte técnico en Teams para llegar al Active Directory

Microsoft ha publicado un informe, del 30 de octubre, sobre dos intrusiones en empresas que empezaron con un mensaje en Microsoft Teams: alguien que decía ser del soporte técnico desde un tenant externo con un nombre creíble. No ha atribuido los ataques a ningún grupo conocido ni ha dicho cuándo ocurrieron.

Cómo entraron

El falso técnico convencía al empleado de abrir Quick Assist, la herramienta de asistencia remota de Windows, y de leerle el código de conexión. Con ese acceso dejaban un archivo comprimido en la carpeta Descargas, lo descomprimían en una carpeta con nombre de actualización de Windows y ejecutaban su contenido con herramientas portátiles de Python, Bun o Java.

Del empleado al controlador de dominio

Después abusaron de los certificados de Active Directory. En un caso aprovecharon una plantilla mal configurada; en otro forzaron al controlador de dominio a autenticarse y reenviaron ese inicio de sesión para obtener un certificado a su nombre. Con eso consiguieron certificados de cuentas con privilegios, copiaron credenciales del dominio y, en una intrusión, enviaron datos a un servidor externo con una copia renombrada de Rclone. Microsoft no ha indicado el volumen. Las técnicas se conocen desde 2021: lo nuevo es verlas combinadas en ataques reales.

Cómo reducir el riesgo

• Ante una petición de soporte inesperada, verifícala por un canal interno conocido antes de compartir pantalla o dar control remoto.
• Limita qué organizaciones externas pueden escribir a tus empleados en Teams y permite solo herramientas de soporte remoto aprobadas.
• Revisa las plantillas de certificados de AD CS y quita permisos de inscripción que sobren.
• Exige HTTPS y activa la protección EPA en los servicios de inscripción web; desactiva NTLM donde sea posible. Windows Server 2025 la trae activada, pero 2022 y 2019 requieren hacerlo a mano.