Ataque com Responder.

O Responder e uma ferramenta em Python de Laurent Gaffie que combina envenenamento de LLMNR, NBT-NS, mDNS e DHCPv6 com servidores de autenticacao falsos embutidos de SMB, HTTP, FTP, MSSQL, LDAP, WPAD e proxy. Quando uma vitima digita um nome de host errado ou consulta um nome sem registo DNS, o Windows recorre a estes protocolos de broadcast/multicast; o Responder responde primeiro, alega ser o host requisitado, induz a vitima a autenticar e colhe hashes challenge-response NTLMv1/NTLMv2 para crack offline com hashcat ou john.

O comportamento explorado e uma escolha de design de longa data do Windows: o LLMNR (RFC 4795) e o NBT-NS sao fallbacks de resolucao de nomes nao autenticados, pelo que qualquer host no segmento pode personificar qualquer nome. Como as respostas sao broadcast/multicast, o atacante precisa apenas de presenca na camada 2, sem credenciais previas, razao pela qual o Responder normalmente produz hashes poucos minutos apos entrar numa LAN corporativa. Executando passivamente no modo --analyze, mapeia oportunidades de envenenamento sem enviar respostas; o modulo WPAD -w sequestra a auto-configuracao de proxy para coagir NTLM do navegador. Hashes NTLMv2 capturados que resistem ao crack ainda sao uteis: canalizados para o ntlmrelayx do Impacket, tornam-se ataques de NTLM relay ao vivo contra hosts sem assinatura SMB ou LDAP.

flowchart TD
  V[Vitima consulta um nome desconhecido] --> Q{DNS resolve?}
  Q -->|Nao| B[Broadcast LLMNR / NBT-NS / mDNS]
  B --> R[Responder responde primeiro<br/>'esse host sou eu']
  R --> AU[Servidor SMB/HTTP falso<br/>induz autenticacao]
  AU --> H[Capturar challenge-response NTLMv2]
  H --> C[Crack offline<br/>hashcat / john]
  H --> RL[Relayar ao vivo via ntlmrelayx]
  G[Desabilitar LLMNR e NBT-NS via GPO] -.previne.-> B

Os defensores desabilitam LLMNR e NBT-NS via GPO, forcam assinatura SMB e LDAP, implantam Extended Protection for Authentication e segmentam redes para negar acesso nao autorizado na camada 2. Canarios de honey-credentials e assinaturas de IDS para respostas LLMNR envenenadas ajudam a detetar o uso do Responder.