微軟威脅情報團隊於二零二六年十月三十日公開兩宗真人操作入侵調查：攻擊者以 Microsoft Teams 訊息與通話冒充資訊科技或服務台人員，誘導用戶透過 Quick Assist 等遙距支援工具交出互動控制權；其後在用戶可寫入路徑部署可攜式 Python、Bun 或 Java 執行環境，偵察主機與 Active Directory Certificate Services（AD CS），並分別沿 ESC1 憑證範本濫用與 PetitPotam 加 ESC8 NTLM 轉送兩條路徑，取得高權限或網域控制站帳戶的驗證憑證。案例一顯示自動攻擊中斷可阻擋逾一千次後續 SMB 存取，但若有特權身分被排除在自動圍堵之外，攻擊者仍可憑已發出憑證與 Rclone 外傳檔案；案例二則在 Defender 告警後由客戶隔離工作站，未見進一步橫向發展。來源真實性已驗證。
微軟／官方：Teams 假服務台通向 AD CS——ESC1／ESC8 憑證濫用兩條路徑；自動圍堵排除可留外傳缺口
企業把即時通訊與遙距支援當成日常維運通道，攻擊者亦把「親切的服務台來電」當成初始存取。微軟安全研究於十月三十日把兩宗未歸屬特定威脅組織的真人操作事件拆開說明：入口相同——Teams 社工與用戶批准的遙距工作階段；分岐則在憑證層。來源真實性已驗證。
一、核心事件與公開時間線
共同入口：假服務台與遙距控制
兩宗事件均由冒充支援人員的 Teams 訊息與通話起手，說服用戶開啟 Quick Assist（或其他遙距支援流程）並提供連線代碼，讓攻擊者取得鍵盤級互動控制。對外顯示名稱與以組織為主題的 onmicrosoft.com 租戶名稱，被用來營造「自家同事來幫忙」的熟悉感。微軟明確指出：活動並未利用 Microsoft Teams 產品漏洞，而是依賴社工與不安全或過度寬鬆的 AD CS 設定。
用戶批准遙距工作階段後，攻擊者隨即在 Downloads 等位置放下壓縮檔，於使用者設定檔下建立以 KB 為前綴的暫存目錄，解壓後以可攜式 Python、Bun（可經重新命名但保留合法版本中繼資料）或 Java 執行環境啟動載入器，再進行主機／網絡探索，並開始評估 AD CS。
案例一：ESC1 範本濫用與部分圍堵後的外傳
第一波 Teams 釣魚鎖定三個使用者帳戶，並攻陷一部工作站。攻擊者找到可被 ESC1 濫用的企業憑證範本——低權限申請者可在要求中自行填寫身分資訊，並在寬鬆註冊權限下取得代表特權帳戶的驗證用憑證。該波次中，攻擊者為三個高權限帳戶取得憑證。Microsoft Defender 攻擊中斷針對最初被攻陷用戶與該三個憑證身分設限，遙距登入與 SMB 存取受阻、作用中工作階段被切斷；但有一個特權帳戶被排除在自動回應之外，圍堵未涵蓋該身分。
約九十分鐘後，攻擊者發動更大一波釣魚，鎖定十六名用戶並再攻陷一部工作站，再次濫用同一 ESC1 範本，為另外八個高權限帳戶取得憑證。攻擊中斷針對新用戶與該八個憑證身分運作，逾一千次後續 SMB 檔案存取嘗試與額外登入嘗試被擋住。
在取得其中一張特權憑證後數秒內，攻擊者已向網域控制站驗證並執行 DCSync；中斷機制限制了額外複寫與後續使用，但作業已經開始。其後，第一波被排除的特權帳戶仍可用於網絡與遙距互動登入，攻擊者抵達檔案伺服器，並以重新命名為 SearchApp.exe 的 Rclone 複本，把分享內最多約三年內的檔案以二十條並行傳輸外傳到外部 SFTP，並排除多類執行檔、資料庫、虛擬磁碟、媒體、暫存與日誌副檔名。
案例二：PetitPotam 加 ESC8 通向網域控制站身分
第二個環境沒有可用的 ESC1 路徑。攻擊者改以 PetitPotam，經 Encrypting File System Remote Protocol（EFSRPC）迫使網域控制站以機器帳戶向攻擊者控制系統驗證，再把該 NTLM 驗證轉送到缺乏足夠轉送防護的 AD CS Web Enrollment（ESC8），以被轉送身分申請並取回「Domain Controller」範本憑證，再以該憑證完成 Kerberos PKINIT，取得網域控制站的票證授予票證（TGT）。微軟 Defender 產生與 ESC8 相關告警後，客戶隔離相關工作站，其後未見進一步攻擊進程。
二、技術原理與風險模型
為何「一張憑證」比「一個密碼」更難善後
AD CS 可把憑證要求轉成可獨立於初始密碼的持久驗證路徑。攻擊者一旦持有特權用戶或機器帳戶的驗證憑證，重設用戶密碼或重灌第一部工作站，都不會自動吊銷已發出憑證，亦不會使已發出的 Kerberos 票證失效。案例一的外傳路徑，正是建立在「部分身分已自動圍堵、但排除帳戶與已發出憑證仍可用」之上。
ESC1 與 ESC8 的分叉
- ESC1（範本設定錯誤）：驗證能力範本允許申請者自填身分（主體／SAN），又搭配過寬註冊權限與薄弱簽發控制時，低權限主體可為高權限帳戶取證。
- ESC8（Web Enrollment 的 NTLM 轉送）：網域控制站（或其他帳戶）的 NTLM 被轉送到未充分防護的註冊網頁端點時，攻擊者可代該身分提交憑證要求；再經 PKINIT 把轉送結果升級成憑證支撐的 Kerberos 身分。
可攜式執行環境的價值在於：從用戶可寫路徑啟動、可改名卻保留合法檔案中繼資料，令「只靠檔名攔截」變弱；有用的調查模式是——未授權遙距工作階段之後，新建暫存目錄內出現解譯器／執行環境，並隨即連向目錄服務（例如 LDAPS／SMB）或憑證基礎建設。
自動中斷與排除清單
微軟對比兩案回應結果：案例一靠自動化攻擊中斷限制多數被攻陷身分，並擋住大量 SMB／登入，但排除帳戶後來支撐檔案伺服器存取與外傳；案例二靠告警後客戶主導的裝置隔離，觀察到的後續進程停止。結論是：自動化最有效的前提，是每個被攻陷身分與裝置都仍在可圍堵範圍；排除必須當成事故決策並搭配補償性人手動作。
四、日常應用場景
1. 開發者與技術團隊
檢視 AD CS 範本：哪些允許申請者指定 SAN／主體、誰有註冊權、是否支援用戶／電腦驗證。對 Web Enrollment（/certsrv）確認 NTLM 轉送緩解（例如 EPA、停用不必要的 NTLM、網絡隔離）。端點上對用戶可寫路徑的可攜式 Python／Bun／Java 與腳本執行施加應用程式控制；告警條件應綁「已批准 RMM／Quick Assist 之後立刻解壓並啟動解譯器」的父子程序鏈，而非單一檔名。
2. 企業與隱私敏感行業
金融、專業服務與公共機構若以 Teams 作跨租戶協作，應收緊外部同盟與聯盟網域、要求未預約支援請求必須經已知內部渠道核實，並限制核准的遙距支援產品與操作者。把「憑證簽發／吊銷／Kerberos 票證覆核」寫進事件手冊：發現未授權憑證時，記錄序號與指紋、吊銷、發布撤銷資訊，並分開處理已發出的 TGT／服務票證。自動圍堵的排除清單要有時限與雙人覆核，避免案例一式缺口。
3. 一般用戶與獨立開發者
接到自稱資訊中心、服務台或「幫你修電腦」的即時通訊來電時，先經公司內線或已知同事確認；留意客戶端標示的外部／可疑詐騙提示。不要在未核實情況下分享螢幕或輸入遙距支援代碼。個人若自架 Windows 網域測試環境，同樣不應在網際網路暴露未加固的 AD CS Web Enrollment。
4. 香港與亞洲市場視角
香港企業廣泛採用 Microsoft 365 與 Teams，混合雲與地端 AD 仍常見於會計、法律、醫療與中小企內部系統。假服務台社工不需要「零日」即可把用戶批准的遙距工作階段，升級成憑證級網域身分；對本地資安與 IT 託管團隊，這比單純修 CVE 更貼近日常演練題：外部通訊政策、遙距工具白名單、AD CS 範本健檢，以及事故時「身分＋憑證＋票證」三線並行圍堵。
五、專業評價與潛在考量
優勢
微軟以兩條可核對的攻擊鏈（ESC1／DCSync／Rclone 外傳；PetitPotam／ESC8／PKINIT）說明同一入口如何在憑證層分叉，並量化部分防衛成效（逾一千次 SMB 嘗試被擋、十六名用戶的第二波釣魚），同時坦承自動圍堵排除可留下外傳路徑。文中提供可操作的調查軸（Teams 互動、KB 前綴暫存、LDAPS／SMB、憑證要求與簽發、PKINIT）與強化建議，對已部署 Defender／Entra 與仍保留地端 AD CS 的機構具直接參考價值。聲明未利用 Teams 漏洞、亦未歸屬特定組織，有助避免過度解讀。
需要留意的地方
公開文屬威脅情報案例研究，並非通用漏洞公告；讀者環境若無相同範本或 Web Enrollment 暴露面，風險形貌會不同。文中 IOC 以部分腳本雜湊為主，檔名與路徑可被替換。自動化中斷與告警名稱視授權與感測器配置而異，不能假設「有 Defender 就等於案例二結局」。企業若只重設密碼、不吊銷憑證與覆核 Kerberos 票證，仍可能低估殘留存取。
結語
微軟這兩宗調查把「Teams 假服務台」與 AD CS 憑證濫用接成一條完整故事：用戶一次性批准遙距支援，便可在錯誤範本或可轉送的 Web Enrollment 上，換得獨立於密碼的特權或網域控制站身分；自動圍堵有效，但排除清單與未吊銷憑證足以留下外傳缺口。對香港機構而言，應同步檢視協作外部存取、遙距工具治理，以及 AD CS 範本與註冊端點硬化，並把憑證吊銷納入身分事故標準動作。若貴機構需要在香港加固身份與目錄服務、雲端／混合雲存取控制，或就 Microsoft 365 與地端 AD 的資安健檢取得實作支援，可參考 YSK Limited 的香港雲端遷移與網絡安全服務（https://ysk.hk/services/cloud-security）。
參考來源
- Microsoft Security Blog：From help desk impersonation to AD CS abuse: Investigating ESC1 and ESC8 intrusion paths（2026-10-30）：https://www.microsoft.com/en-us/security/blog/2026/10/30/help-desk-impersonation-ad-cs-abuse-investigating-esc1-esc8-intrusion-paths/
- Microsoft Support：KB5005413 Mitigating NTLM relay attacks on Active Directory Certificate Services：https://support.microsoft.com/help/5005413