Ataque de NTLM Relay.

Ataque adversary-in-the-middle (MITRE T1557.001) em que o atacante encaminha a autenticacao NTLM de uma vitima a outro servico para se passar por ela sem saber a senha. Pertence à categoria Ataques e ameaças da cibersegurança.

Ataque adversary-in-the-middle (MITRE T1557.001) em que o atacante encaminha a autenticacao NTLM de uma vitima a outro servico para se passar por ela sem saber a senha.

O NTLM relay abusa do design challenge-response do NTLM. O atacante leva o host vitima a autenticar contra infraestrutura sob seu controle (via WebDAV, caminhos UNC ou coercao tipo PetitPotam) e encaminha as mensagens NTLM a um servico-alvo como LDAP, SMB, enrolamento web do ADCS ou MSSQL. O alvo aceita a resposta legitima ao desafio e concede acesso ao atacante com a identidade da vitima. Como nao se recupera senha nem hash em claro, somente protocolos assinados e ligados ao canal interrompem o ataque. Mitigacoes incluem forcar assinatura SMB, assinatura LDAP e channel binding (EPA), desabilitar NTLM quando possivel e corrigir vetores de coercao. O ntlmrelayx do Impacket e a ferramenta de referencia.

As defesas contra Ataque de NTLM Relay costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.

Nomes alternativos comuns: NTLM relaying, T1557.001.