Исследователи описали атаку на домен Active Directory, которая объединяет две проблемы: подмену DNS-имени сервера WSUS (Windows Server Update Services) и использование некорректно настроенного шаблона сертификатов AD CS.

Если в инфраструктуре есть WSUS, а его DNS-запись можно перехватить (например, она не защищена), злоумышленник регистрирует своё устройство с тем же именем. Далее, при наличии шаблона сертификатов, допускающего серверную аутентификацию и указание произвольного имени в сертификате, атакующий запрашивает TLS-сертификат на имя легитимного WSUS.

С этим сертификатом он поднимает собственный WSUS-сервер, который клиенты воспринимают как доверенный из-за валидного TLS. Через поддельный сервер обновлений доставляется вредоносная нагрузка, которая выполняется на целевых машинах с правами системы.

Это позволяет скомпрометировать контроллер домена, если он настроен на получение обновлений через WSUS. Вектор требует определённых условий, но при их совпадении даёт практически полный контроль над доменом.