NTLM Relay и LLMNR — выдавать себя за другого, ничего не взламывая

Теория — LLMNR poisoning

Когда компьютер не находит имя в сети (опечатка, несуществующий сервер), Windows спрашивает всю сеть через LLMNR/NBT-NS: «кто-нибудь знает это имя?». Атакующий отвечает: «да, я» — и жертва отправляет ему свою NTLM-аутентификацию.

Здесь вступает relay: вместо взлома хеша (что может занять время) атакующий передаёт аутентификацию дальше в реальном времени другой службе — файловому серверу, LDAP контроллера домена или HTTP-интерфейсу AD CS (это и есть ESC8). Служба получает совершенно корректную аутентификацию — чужую.

Главная защита — подпись: SMB Signing и LDAP Signing/Channel Binding требуют, чтобы аутентификация приходила напрямую от источника — relay ломает подпись, и служба отклоняет соединение.

Практика — только в лаборатории

# 1. Прослушивание и отравление с Responder
responder -I eth0 -rdw
# Ждем, пока кто-нибудь введет неверное имя — и получаем аутентификацию NTLM

# 2. Relay аутентификации на SMB-сервер без подписи
ntlmrelayx.py -t smb://10.0.0.25 -smb2support
# 3. Relay на LDAP — создание учетной записи компьютера (для объединения с RBCD)
ntlmrelayx.py -t ldap://dc01.corp.local --delegate-access

Обнаружение (Detection)

• Event ID 4624 type 3 (сетевой вход) от компьютеров, у которых нет причин подключаться к цели — relay создаёт «странный» logon.
• Ответы LLMNR/NBT-NS с одного адреса на множество разных имён — подпись Responder.
• Подключения LDAP/SMB к самому DC с компьютеров, не являющихся DC/серверами.
• Defender for Identity обнаруживает NTLM relay и LLMNR poisoning — включите оповещения.

Митигация

• Отключите LLMNR и NBT-NS во всей организации (GPO: Computer Configuration → Administrative Templates → Network → DNS Client → Turn off multicast name resolution).
• Включите SMB Signing на всех серверах и рабочих станциях (GPO: Microsoft network server/client: Digitally sign communications → Always).
• Включите LDAP Signing и Channel Binding на контроллерах домена.
• Включите EPA на HTTP-интерфейсах AD CS (блокирует ESC8).
• Чувствительные учётки — в Protected Users: там NTLM заблокирован полностью.
• Убедитесь, что у пользователей нет широких локальных прав — relay на SMB стоит ровно столько, сколько стоит жертва.