Ründajad esinesid Microsoft Teamsis IT-toena ja kuritarvitasid AD CS-i ettevõtteandmete varastamiseks

Ründajad esinesid Microsoft Teamsis ettevõtte IT- või kasutajatoena ning veensid töötajaid andma neile Quick Assistiga oma arvutite kaugjuhtimise. Seejärel kasutasid nad valesti seadistatud Active Directory Certificate Services (AD CS) sätteid, et hankida privilegeeritud kontode, sealhulgas domeenikontrolleri jaoks sisselogimissertifikaate. Microsoft uuris kahte sissetungi; ühel juhul kopeeriti ettevõtte andmeid välisesse serverisse. Microsoft ei seostanud tegevust ühegi teadaoleva rühmaga.