Ataque de SMB Relay.

Variante especifica de NTLM relay en la que el atacante reenvia la autenticacion SMB de una victima a otro servidor SMB para ejecutar codigo o acceder a archivos con su identidad. Pertenece a la categoría de Ataques y amenazas en ciberseguridad.

Variante especifica de NTLM relay en la que el atacante reenvia la autenticacion SMB de una victima a otro servidor SMB para ejecutar codigo o acceder a archivos con su identidad.

El SMB relay abusa de la autenticacion de compartidos de Windows cuando no se exige firma SMB. El atacante se interpone entre el host victima y un servidor objetivo, normalmente envenenando la resolucion de nombres con Responder o coaccionando a la victima a conectarse a una UNC maliciosa. La autenticacion NTLM de la victima se reenvia a un servidor SMB donde la firma no es obligatoria. Si la identidad reenviada tiene admin local en el destino, el atacante puede ejecutar comandos via instalacion de servicio tipo PsExec, programar tareas o leer compartidos sensibles. La mitigacion principal es exigir firma SMB en clientes y servidores; entornos solo Kerberos o LDAPS reducen aun mas la exposicion. Las herramientas de referencia son Impacket smbrelayx y ntlmrelayx con -t smb://.

Las defensas contra Ataque de SMB Relay combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: SMB relaying, Relay SMB entre protocolos.