Envenenamiento NBT-NS.

Ataque adversario en medio que abusa del trafico heredado de NetBIOS Name Service en UDP/137 para falsificar respuestas de nombres y capturar autenticaciones NTLM. Pertenece a la categoría de Ataques y amenazas en ciberseguridad.

Ataque adversario en medio que abusa del trafico heredado de NetBIOS Name Service en UDP/137 para falsificar respuestas de nombres y capturar autenticaciones NTLM.

NBT-NS es un protocolo de resolucion de nombres de Windows con 30 anos de antiguedad que emite broadcasts UDP/137 cuando tambien falla LLMNR. El envenenamiento NBT-NS, igual que el de LLMNR, permite que cualquier host del segmento responda con su propia IP, redirigiendo al cliente SMB o HTTP de la victima a la infraestructura del atacante para capturar credenciales NTLMv2. Los broadcasts NBT-NS usan nombres de 16 caracteres con padding y un byte de tipo de consulta, lo que Responder gestiona de forma transparente. Deshabilitar NetBIOS sobre TCP/IP en todas las interfaces mediante la opcion DHCP 001 o ajustes de interfaz elimina por completo este fallback. Como algunas apps heredadas y clientes Windows antiguos aun dependen de el, los defensores deben inventariar y migrar antes de desactivarlo.

Las defensas contra Envenenamiento NBT-NS combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: Spoofing NBNS, Suplantacion NetBIOS Name Service.