SMB-Relay-Angriff.

SMB-Relay-Angriffe missbrauchen die Authentifizierung von Windows-Dateifreigaben, wenn SMB-Signing nicht erzwungen ist. Der Angreifer positioniert sich zwischen Opfer-Host und Zielserver, oft durch Vergiften der Namensaufloesung mit Responder oder durch Coercion des Opfers auf einen schadhaften UNC-Pfad, und leitet die NTLM-Authentifizierung des Opfers an einen Ziel-SMB-Server weiter, auf dem Signing nicht verlangt wird. Hat die relayte Identitaet lokale Admin-Rechte auf dem Ziel, installiert der Angreifer einen PsExec-aehnlichen Dienst, plant Tasks oder liest sensible Shares im Namen des Opfers.

Der Angriff geht auf eine Offenlegung des Cult of the Dead Cow aus dem Jahr 2001 zurueck und wurde bekanntlich von Metasploit demonstriert. Urspruenglich konnte ein Angreifer die Credentials eines Opfers direkt zurueck an den urspruenglichen Host relayen ("Credential Reflection"). Microsoft schloss diesen konkreten Pfad mit MS08-068 im November 2008; seither weist der SMB-Dienst eine Challenge zurueck, die er als eine soeben selbst ausgestellte erkennt, sodass man seit 2008 an eine andere Maschine als die Quelle relayen muss. Genau diese Einschraenkung ist der Grund, warum modernes SMB-Relay darauf angewiesen ist, einen zweiten Host (laterales Ziel) zu finden, auf dem Signing deaktiviert ist. Die SMB-Client-Schwachstelle CVE-2025-33073 von 2025 belebte kurzzeitig eine Reflection-artige Privilegieneskalation, bevor sie gepatcht wurde, und unterstreicht, wie hartnaeckig die zugrunde liegende NTLM-Schwaeche ist.

flowchart LR
  P[LLMNR/NBT-NS vergiften<br/>oder UNC-Pfad erzwingen] --> V[Opfer sendet NTLM-Auth]
  V --> A[Angreifer-Relay<br/>smbrelayx / ntlmrelayx]
  A -->|Relay an einen ANDEREN Host<br/>Signing nicht erzwungen| T[(Ziel-SMB-Server)]
  T -->|Opfer ist lokaler Admin| X[Service-Installation / PsExec<br/>Befehlsausfuehrung]
  T -->|sonst| R[Sensible Shares lesen]
  S[SMB-Signing auf beiden Seiten verlangen] -.blockiert.-> A

Die zentrale Gegenmassnahme ist erzwungenes SMB-Signing auf Clients und Servern; LDAPS, reine Kerberos-Umgebungen und das Deaktivieren von NTLM reduzieren die Angriffsflaeche weiter. Impacket smbrelayx und ntlmrelayx mit -t smb:// sind die Standard-Werkzeuge.