LLMNR-Poisoning.

Adversary-in-the-Middle-Technik (MITRE T1557.001), die das Link-Local Multicast Name Resolution-Protokoll auf UDP/5355 missbraucht, um Opfer auf vom Angreifer kontrollierte Hosts umzuleiten. Es gehört zur Kategorie Angriffe und Bedrohungen der Cybersicherheit.

Adversary-in-the-Middle-Technik (MITRE T1557.001), die das Link-Local Multicast Name Resolution-Protokoll auf UDP/5355 missbraucht, um Opfer auf vom Angreifer kontrollierte Hosts umzuleiten.

LLMNR (RFC 4795) ist ein Windows-Fallback-Namensaufloesungsprotokoll, das einspringt, wenn DNS scheitert. Clients senden eine UDP/5355-Multicast-Anfrage fuer den unaufgeloesten Namen, und jeder Host im lokalen Link darf antworten. Ein Angreifer im selben Broadcast-Domain antwortet mit seiner eigenen IP und veranlasst den SMB- oder HTTP-Client des Opfers zur Authentifizierung, um NTLMv2-Challenge-Response-Material fuer Offline-Cracking oder NTLM-Relay zu erbeuten. LLMNR-Poisoning gehoert zu den zuverlaessigsten internen Angriffen, weil Windows es weiterhin bei Tippfehlern, falsch konfigurierten Shares und alten Druckern abfragt. Die Gegenmassnahme ist einfach: LLMNR per GPO deaktivieren (Turn off Multicast Name Resolution) und ausschliesslich DNS nutzen. Detektion: ungewoehnlicher UDP/5355-Traffic und Event-ID 4624 von verdaechtigen Hosts.

Schutzmaßnahmen gegen LLMNR-Poisoning kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Übliche alternative Bezeichnungen: LLMNR-Spoofing, T1557.001.