Ataque de SMB Relay.

Los ataques de SMB relay abusan de la autenticacion de compartidos de archivos de Windows cuando no se exige la firma SMB. El atacante se situa entre un host victima y un servidor objetivo (a menudo envenenando la resolucion de nombres con Responder o coaccionando a la victima para que abra una ruta UNC maliciosa) y reenvia la autenticacion NTLM de la victima a un servidor SMB objetivo donde la firma no es obligatoria. Si la identidad reenviada tiene derechos de admin local en el destino, el atacante instala un servicio estilo PsExec, programa tareas o lee compartidos sensibles con la identidad de la victima.

El ataque se remonta a una divulgacion del Cult of the Dead Cow en 2001 y fue celebremente demostrado por Metasploit. Originalmente, un atacante podia reenviar las credenciales de la victima directamente de vuelta al host de origen ("reflexion de credenciales"). Microsoft cerro esa ruta concreta con MS08-068 en noviembre de 2008, tras lo cual el servicio SMB rechaza un desafio que reconoce como uno que acaba de emitir, de modo que desde 2008 hay que reenviar a una maquina diferente del origen. Esa unica restriccion es la razon por la que el SMB relay moderno depende de encontrar un segundo host (objetivo lateral) y de que la firma este deshabilitada alli. La vulnerabilidad del cliente SMB de 2025 CVE-2025-33073 revivio brevemente una escalada de privilegios estilo reflexion antes de ser parcheada, subrayando lo persistente que es la debilidad subyacente de NTLM.

flowchart LR
  P[Envenenar LLMNR/NBT-NS<br/>o coaccionar ruta UNC] --> V[La victima envia auth NTLM]
  V --> A[Relay del atacante<br/>smbrelayx / ntlmrelayx]
  A -->|reenviar a un host DIFERENTE<br/>firma no exigida| T[(Servidor SMB objetivo)]
  T -->|la victima es admin local| X[Instalacion de servicio / PsExec<br/>ejecucion de comandos]
  T -->|en caso contrario| R[Leer compartidos sensibles]
  S[Exigir firma SMB en ambos extremos] -.bloquea.-> A

Exigir la firma SMB en clientes y servidores es la mitigacion principal; LDAPS, los entornos solo Kerberos y deshabilitar NTLM reducen aun mas la exposicion. Las herramientas canonicas son smbrelayx de Impacket y ntlmrelayx -t smb://.