SMB リレー攻撃.

SMB リレー攻撃は、SMB 署名が強制されていない場合に Windows のファイル共有認証を悪用します。攻撃者は被害者ホストとターゲットサーバーの間に位置取りし(多くは Responder で名前解決をポイズニングするか、悪性 UNC パスを開くよう被害者に強制します)、被害者の NTLM 認証を、署名が必須でないターゲット SMB サーバーへリレーします。リレーした ID がターゲットでローカル管理者権限を持つ場合、攻撃者は被害者として PsExec 風のサービスをインストールしたり、タスクをスケジュールしたり、機密共有を読み取ったりできます。

この攻撃は 2001 年の Cult of the Dead Cow による公開にさかのぼり、Metasploit による実証で有名になりました。当初、攻撃者は被害者の資格情報を発信元ホストにそのまま返送できました(「資格情報リフレクション」)。Microsoft は 2008 年 11 月の MS08-068 でこの特定の経路を塞ぎ、これ以降 SMB サービスは自身が発行したばかりと認識したチャレンジを拒否するようになりました。そのため 2008 年以降は、発信元とは別のマシンへリレーする必要があります。この 1 つの制限こそが、現代の SMB リレーが第 2 のホスト(横展開のターゲット)を見つけることと、そこで署名が無効化されていることに依存する理由です。2025 年の SMB クライアントの脆弱性 CVE-2025-33073 は、パッチが適用されるまでの短い間、リフレクション型の特権昇格を一時的に復活させ、根底にある NTLM の弱点がいかに根強いかを浮き彫りにしました。

flowchart LR
  P["LLMNR/NBT-NS をポイズニング<br/>または UNC パスを強制"] --> V[被害者が NTLM 認証を送信]
  V --> A["攻撃者のリレー<br/>smbrelayx / ntlmrelayx"]
  A -->|"別のホストへリレー<br/>署名が未強制"| T[("ターゲット SMB サーバー")]
  T -->|被害者がローカル管理者| X["サービスインストール / PsExec<br/>コマンド実行"]
  T -->|それ以外| R[機密共有を読み取り]
  S[両端で SMB 署名を必須化] -.遮断.-> A

主な緩和策はクライアント・サーバー双方で SMB 署名を必須化することです。LDAPS、Kerberos のみの環境、NTLM の無効化によってさらに露出を減らせます。標準ツールは Impacket の smbrelayx および ntlmrelayx -t smb:// です。