Attaque Responder.

Responder est un outil Python de Laurent Gaffie qui combine l'empoisonnement LLMNR, NBT-NS, mDNS et DHCPv6 avec des serveurs d'authentification factices integres SMB, HTTP, FTP, MSSQL, LDAP, WPAD et proxy. Quand une victime fait une faute de frappe sur un nom d'hote ou interroge un nom sans enregistrement DNS, Windows se rabat sur ces protocoles broadcast/multicast ; Responder repond en premier, pretend etre l'hote demande, invite la victime a s'authentifier et recolte des hashes challenge-response NTLMv1/NTLMv2 pour un cassage hors ligne avec hashcat ou john.

Le comportement exploite est un choix de conception ancien de Windows : LLMNR (RFC 4795) et NBT-NS sont des mecanismes de resolution de noms de secours non authentifies, donc tout hote du segment peut usurper n'importe quel nom. Comme les reponses sont broadcast/multicast, l'attaquant n'a besoin que d'une presence de niveau 2, sans identifiants prealables, ce qui explique pourquoi Responder produit generalement des hashes quelques minutes apres avoir rejoint un LAN d'entreprise. En mode passif --analyze, il cartographie les opportunites d'empoisonnement sans envoyer de reponses ; le module WPAD -w detourne la configuration automatique de proxy pour forcer le NTLM du navigateur. Les hashes NTLMv2 captures qui resistent au cassage restent utiles : injectes dans ntlmrelayx d'Impacket, ils deviennent des attaques NTLM relay en direct contre des hotes depourvus de signature SMB ou LDAP.

flowchart TD
  V[La victime interroge un nom inconnu] --> Q{DNS resout ?}
  Q -->|Non| B[Broadcast LLMNR / NBT-NS / mDNS]
  B --> R[Responder repond en premier<br/>'cet hote est moi']
  R --> AU[Serveur SMB/HTTP factice<br/>demande une authentification]
  AU --> H[Capture du challenge-response NTLMv2]
  H --> C[Cassage hors ligne<br/>hashcat / john]
  H --> RL[Relais en direct via ntlmrelayx]
  G[Desactiver LLMNR et NBT-NS via GPO] -.previent.-> B

Les defenseurs desactivent LLMNR et NBT-NS via GPO, imposent la signature SMB et LDAP, deploient Extended Protection for Authentication et segmentent les reseaux pour refuser tout acces de niveau 2 non autorise. Des leurres d'identifiants (honey-credentials) et des signatures IDS pour les reponses LLMNR empoisonnees aident a detecter l'utilisation de Responder.