Quando o helpdesk vira armadilha: o que dois ataques reais ensinam sobre certificados do Active Directory

A chamada que custou o servidor de arquivos

Um colaborador recebe uma chamada no Teams. Quem liga diz ser do suporte de TI, pede para compartilhar a tela e resolve um problema em minutos. Menos de duas horas depois, arquivos internos da empresa já estão sendo copiados para um servidor fora do país. Não houve vírus. Não houve link malicioso. Houve uma permissão concedida de boa-fé e uma configuração que ninguém havia revisado.

O que muda quando a senha trocada não resolve mais?

A Microsoft documentou dois ataques reais com esse ponto de entrada. Depois de ganhar acesso remoto via Teams, os invasores exploraram falhas de configuração no Active Directory Certificate Services para obter certificados digitais em nome de contas privilegiadas, incluindo o próprio controlador de domínio. O detalhe que transforma esse vetor em problema duradouro: um certificado emitido por um invasor continua válido mesmo depois de a senha ser trocada e a máquina formatada. O acesso só é encerrado quando o certificado é explicitamente revogado, e isso exige que alguém saiba que ele existe.

Impacto prático nas empresas

O primeiro ataque documentado terminou com exfiltração de dados de um servidor de arquivos, executada por uma conta que deveria estar bloqueada. A ferramenta usada foi renomeada para parecer um processo legítimo do sistema e rodou em segundo plano transferindo documentos para um destino externo. Contratos, planilhas financeiras, propostas comerciais e dados de clientes são exatamente o tipo de conteúdo que mora nesses servidores. Para o financeiro, o risco não é só operacional: inclui obrigações contratuais de sigilo e potencial notificação a clientes em caso de vazamento confirmado.

Cenários reais de aplicação

Em empresas de médio porte com Active Directory e serviços de certificado habilitados, o caminho explorado nesses ataques é mais comum do que parece. No financeiro, documentos de fechamento e relatórios de auditoria ficam em compartilhamentos de arquivo com acesso amplo. Em operações, credenciais de sistemas críticos costumam estar nas mãos de contas privilegiadas que raramente têm monitoramento em tempo real. No comercial, propostas e tabelas de preço circulam por servidores internos sem controle de quem acessa via sessão remota. Em TI, templates de certificado criados anos atrás para facilitar a vida de administradores raramente são revisados e acumulam permissões que nunca deveriam existir.

Pontos de atenção

Os dois vetores explorados, chamados de ESC1 e ESC8 pela Microsoft, dependem de configurações permissivas que existem em muitos ambientes por comodidade ou por herança de projetos antigos. O ESC1 permite que qualquer conta com acesso ao template solicite um certificado para uma identidade diferente da sua. O ESC8 permite que uma autenticação relayada chegue ao serviço de certificados sem proteção de canal. Nenhum dos dois é uma vulnerabilidade nova: são configurações que a própria Microsoft orienta a corrigir desde 2021. O risco adicional está no acesso externo não restrito no Teams, que é a porta de entrada usada nesses ataques antes de qualquer exploração técnica.

Como a Memory pode apoiar

A Memory opera ambientes Microsoft com Defender for Identity e Defender XDR, as mesmas ferramentas que geraram os alertas nos casos documentados. Pelo Memory Care, a equipe pode revisar os templates de certificado do AD CS e identificar configurações com permissões excessivas, validar as políticas de acesso externo e federação no Teams, verificar se há endpoints de Web Enrollment sem proteção de canal habilitada e configurar alertas de identidade para atividade anômala em contas privilegiadas. O ponto de partida é uma conversa com o time técnico em memorycomp.com.br/pt-BR/contato/.

Conclusão

A senha trocada e a máquina formatada dão sensação de controle que pode não corresponder à realidade. Se um certificado foi emitido para uma conta privilegiada durante o ataque, o acesso persiste até que alguém o revogue de forma explícita. Antes de verificar se esse risco existe no ambiente, vale perguntar: se alguém pedisse acesso remoto pelo Teams hoje e um colaborador liberasse, quem veria o alerta primeiro?