Huntress monitoreó una campaña de Microsoft 365 de 10 semanas que combinó retransmisiones AiTM con reutilización de token de autenticación, dispositivos Entra fraudulentos, manipulación de MFA y reglas ocultas de bandeja de entrada.
Un paquete cargado lateralmente convierte un binario firmado por Microsoft en una herramienta de robo de tokens de OAuth. Sin dominio de phishing, sin interfaz falsificada, sin navegador. Así es como se detecta.
Una cuenta del AD RMS Service Group exporta la clave privada del Server Licensor Certificate de AD RMS. Esa clave de 1172 bytes descifra, sin conexión, cada documento que la implementación haya protegido, y sigue haciéndolo incluso después de reconstruir la implementación.
Active Directory Rights Management Services todavía se incluye en Windows Server 2025, años después de que Microsoft comenzara a dirigir a los clientes hacia la cloud, y sigue totalmente soportado on-premises. La parte 1 describe el modelo de confianza de AD RMS (el Server Licensor Certificate, el flujo de licencias, la superficie de protocolo SOAP) y muestra cómo descubrir una implementación de RMS, identificar un archivo protegido por AD RMS y rastrear el camino hasta la clave privada de ese certificado.
ldapnomnom afirma que no deja registros de auditoría de Windows. Esta publicación muestra por qué el evento 1644 no detecta LDAP Ping y dónde los defensores aún pueden detectarlo.
El mismo primitivo de filtración de NTLM que se parchó en la herramienta Recortes existe en el manejador search: del Explorador de Windows. Sin CVE. Sin corrección. Si tu programa de parches depende de la cobertura de CVE, tienes un punto ciego.
