NTLM-Relay-Angriff.

Adversary-in-the-Middle-Angriff (MITRE T1557.001), bei dem ein Angreifer die NTLM-Authentifizierung eines Opfers an einen anderen Dienst weiterleitet, um es ohne Passwortkenntnis zu impersonieren. Es gehört zur Kategorie Angriffe und Bedrohungen der Cybersicherheit.

Adversary-in-the-Middle-Angriff (MITRE T1557.001), bei dem ein Angreifer die NTLM-Authentifizierung eines Opfers an einen anderen Dienst weiterleitet, um es ohne Passwortkenntnis zu impersonieren.

Ein NTLM-Relay nutzt das Challenge-Response-Design von NTLM aus. Der Angreifer bringt ein Opferhost dazu, sich gegen seine Infrastruktur zu authentifizieren (etwa via WebDAV, UNC-Pfaden oder PetitPotam-artiger Coercion) und leitet die NTLM-Nachrichten an ein Zieldienst wie LDAP, SMB, das ADCS-Web-Enrollment oder MSSQL weiter. Das Ziel akzeptiert die legitime Challenge-Antwort und gewaehrt dem Angreifer Zugriff unter der Identitaet des Opfers. Da weder Passwort noch Hash im Klartext erbeutet werden, helfen nur signierte und kanalgebundene Protokolle. Gegenmassnahmen sind erzwungenes SMB-Signing, LDAP-Signing und Channel Binding (EPA), Deaktivierung von NTLM wo moeglich und das Schliessen von Coercion-Vektoren. ntlmrelayx aus Impacket ist das Referenzwerkzeug.

Schutzmaßnahmen gegen NTLM-Relay-Angriff kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Übliche alternative Bezeichnungen: NTLM-Relaying, T1557.001.