Microsoft beschrijft Teams-aanval die doorloopt tot de domeincontroller

Microsoft Threat Intelligence beschrijft een campagne waarin aanvallers zich via externe Teams-toegang voordoen als de IT-helpdesk, een sessie voor hulp op afstand krijgen en van daaruit doorstoten naar domeincontrollers en certificaatautoriteiten.

Het eindpunt van deze truc is daarmee verschoven. Bij de Teams-helpdeskcampagne die deze zomer in beeld kwam bleef de schade op de werkplek staan, met een incident waarin het binnen zeventien uur van eerste contact naar versleutelde bestanden ging. Hier is die werkplek alleen de ingang. De aanvaller brengt daarna de hele Active Directory in kaart en legt verbindingen naar de servers die bepalen wie er in de rest van het netwerk iemand is. Dat verandert de vraag na een incident: niet of die ene laptop schoon is, maar welke accounts vanaf die machine bereikbaar waren, tot en met domeinbeheerders.

Van een keer toestaan naar het hele domein

Zodra de nep-helpdesk de sessie heeft, haalt de operator met PowerShell een MSI-pakket op uit cloudopslag en installeert dat met msiexec en de schakelaar /qn, die elk installatiescherm onderdrukt. De pakketten dragen namen als devfix en Hotfix, passend bij het helpdeskverhaal, en stonden op Azure Blob Storage. Dat is een domein dat in vrijwel elk bedrijfsnetwerk als vertrouwd geldt.

Wat er dan landt is geen zelfgebouwd achterdeurprogramma. De MSI haalt de officiele draagbare Node.js-runtime binnen, zet die in een willekeurig genoemde map onder LocalAppData en plaatst er een versleuteld bestand naast met de eigenlijke implant. De loader ontsleutelt die implant in het geheugen of naar een tijdelijk js-bestand en laat Node hem draaien. Verankering gebeurt met een registersleutel of een snelkoppeling in de opstartmap, allebei onder de naam EdgeUpdate. Microsoft Defender vangt de loader onder detectienamen uit de SynkLoader-familie, de malware die via een Teams-bericht binnenkomt en wachtwoorden vist met een nagemaakt Windows-vergrendelscherm.

Daarna is het handwerk. De implant haalt via HTTPS-longpolling JavaScript-opdrachten op, maakt met tussenpozen schermafdrukken van het bureaublad, telt domeinaccounts en servers via ADSI-zoekopdrachten en voert extra DLL-bestanden uit via rundll32. De laatste stap is WinRM op TCP-poort 5985 naar tientallen domeingekoppelde systemen: bestandsservers, database- en applicatieservers en dus ook de domeincontrollers en certificaatautoriteiten. In de onderzochte implants zat daarnaast slapende code die een Ethereum-contract kon uitlezen voor een nieuw adres van de commandoserver. In de aangetroffen versies stond die functie uit.

De instelling die het aankloppen mogelijk maakt

Microsoft benadrukt dat hier geen lek in Teams wordt misbruikt. Teams markeert een externe tenant, toont een blokkeer- en accepteerknop en waarschuwt dat berichten van onbekenden phishing kunnen zijn. De hele aanval hangt erop dat een medewerker die waarschuwing wegklikt. Wat de aanvaller de gelegenheid geeft om te mogen aankloppen is wel een beheerkeuze: in Teams zijn alle externe domeinen standaard toegestaan, en een beheerder kan dat terugbrengen tot een lijst met vertrouwde domeinen.

Twee andere onderzoeken, dezelfde voordeur

Het rapport staat niet op zichzelf. Unit 42 van Palo Alto Networks beschreef op 31 augustus de campagne Spring Ring, die tussen januari en april meer dan 150 medewerkers bij ruim tien organisaties benaderde vanuit 26 verschillende aanvallersidentiteiten, met adressen als ithelp@InternalSystemsDaily.onmicrosoft.com. Ook daar lag het zwaartepunt uiteindelijk bij de domeincontroller, via SMB-scans en een PetitPotam-poging om die controller zijn NTLM-authenticatie naar een machine van de aanvaller te laten sturen. Het onderzoeksteam greep in voordat de domeinovername lukte.

Een dag later publiceerde Unit 42 een derde zaak waarin dezelfde helpdeskopening eindigde in een getrojaniseerd installatiepakket dat een kwaadaardige DLL naast een ondertekend programma zette en het verkeer wegzette via AWS API Gateway. Drie verschillende technische ketens, een identieke opening. Bij Unit 42 kwam 42 procent van alle phishingmeldingen in de eerste vier maanden van 2026 uit samenwerkingstools, tegen 30 procent in de periode daarvoor.

Wat een beheerder deze week kan zetten

Het advies van Microsoft begint bij de federatie: beperk externe toegang in Teams tot vertrouwde domeinen en zet chats vanuit onbeheerde Teams-accounts uit. Het rapport noemt WinRM apart, en dat is de knop die in deze keten het verschil maakt tussen een besmette laptop en een besmet domein: laat poort 5985 alleen toe vanaf beheerwerkplekken en alarmeer op WinRM-verkeer dat vanuit een gebruikersproces begint.

De rest is bekender terrein: regels voor het verkleinen van het aanvalsoppervlak die procesaanmaak vanuit PowerShell, WScript en cmd blokkeren, grip op welke software voor beheer op afstand mag draaien, en bij een treffer het roteren van alle wachtwoorden die vanaf de getroffen machine bereikbaar waren, domeinbeheerders inbegrepen. Het menselijke deel is even concreet: een vast wachtwoord of codewoord waarmee de eigen helpdesk zich identificeert, en de afspraak dat een onaangekondigd verzoek om hulp op afstand altijd via een eigen kanaal wordt teruggebeld.

Wat deze drie rapporten samen laten zien is een verschuiving in het doelwit. De nep-helpdesk mikt niet meer op de bestanden van een medewerker maar op de identiteitslaag erachter, en gebruikt daarvoor bijna uitsluitend spullen die er al staan: een echte Windows-installer, een officiele Node.js-runtime en een beheerprotocol dat op elke Windows-server standaard luistert. Daarmee zitten de zwaarste verdedigingsknoppen niet op het endpoint. Het bereik van externe Teams-contacten en het bereik van WinRM zijn allebei instellingen die in de meeste organisaties nog op hun standaardwaarde staan.