Attaque SMB Relay.

Les attaques SMB relay exploitent l'authentification du partage de fichiers Windows lorsque la signature SMB n'est pas imposee. L'attaquant se place entre un hote victime et un serveur cible, souvent en empoisonnant la resolution de noms avec Responder ou en forcant la victime a ouvrir un chemin UNC malicieux, et relaie l'authentification NTLM de la victime vers un serveur SMB cible ou la signature n'est pas requise. Si l'identite relayee dispose des droits admin local sur la cible, l'attaquant installe un service de type PsExec, planifie des taches ou lit des partages sensibles au nom de la victime.

L'attaque remonte a une divulgation du Cult of the Dead Cow en 2001 et a ete demontree de facon celebre par Metasploit. A l'origine, un attaquant pouvait relayer les identifiants d'une victime directement vers l'hote d'origine ("credential reflection"). Microsoft a ferme ce chemin precis avec MS08-068 en novembre 2008 : depuis, le service SMB rejette un challenge qu'il reconnait comme l'un de ceux qu'il vient d'emettre, donc depuis 2008 il faut relayer vers une machine differente de la source. Cette seule restriction explique pourquoi le SMB relay moderne depend de la decouverte d'un second hote (cible laterale) et du fait que la signature y soit desactivee. La vulnerabilite du client SMB de 2025 CVE-2025-33073 a brievement ravive une elevation de privileges de type reflexion avant d'etre corrigee, soulignant la persistance de la faiblesse NTLM sous-jacente.

flowchart LR
  P[Empoisonner LLMNR/NBT-NS<br/>ou forcer un chemin UNC] --> V[La victime envoie son auth NTLM]
  V --> A[Relais attaquant<br/>smbrelayx / ntlmrelayx]
  A -->|relais vers un hote DIFFERENT<br/>signature non imposee| T[(Serveur SMB cible)]
  T -->|la victime est admin local| X[Installation de service / PsExec<br/>execution de commandes]
  T -->|sinon| R[Lecture de partages sensibles]
  S[Imposer la signature SMB aux deux bouts] -.bloque.-> A

Imposer la signature SMB cote clients et serveurs est la principale mitigation ; LDAPS, les environnements Kerberos uniquement et la desactivation de NTLM reduisent encore l'exposition. smbrelayx d'Impacket et ntlmrelayx -t smb:// sont les outils de reference.