Ataque de NTLM Relay.

Ataque adversario en medio (MITRE T1557.001) en el que el atacante reenvia la autenticacion NTLM de una victima a otro servicio para suplantarla sin conocer la contrasena. Pertenece a la categoría de Ataques y amenazas en ciberseguridad.

Ataque adversario en medio (MITRE T1557.001) en el que el atacante reenvia la autenticacion NTLM de una victima a otro servicio para suplantarla sin conocer la contrasena.

El NTLM relay abusa del diseno challenge-response de NTLM. El atacante induce a un host victima a autenticarse contra infraestructura controlada por el (mediante WebDAV, rutas UNC, o coercion tipo PetitPotam) y reenvia los mensajes NTLM a un servicio objetivo como LDAP, SMB, la inscripcion web de ADCS o MSSQL. El destino acepta la respuesta al desafio legitima y concede acceso al atacante con la identidad de la victima. Como no se recupera contrasena ni hash en claro, solo los protocolos firmados y enlazados al canal lo detienen. Las mitigaciones incluyen forzar firma SMB, firma LDAP y channel binding (EPA), deshabilitar NTLM cuando se pueda y parchear los vectores de coercion. Impacket ntlmrelayx es la herramienta de referencia.

Las defensas contra Ataque de NTLM Relay combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: NTLM relaying, T1557.001.