Ataque de SMB Relay.

Os ataques de SMB relay abusam da autenticacao de compartilhamento de ficheiros do Windows quando a assinatura SMB nao e obrigatoria. O atacante posiciona-se entre um host vitima e um servidor-alvo, frequentemente envenenando a resolucao de nomes com o Responder ou coagindo a vitima a abrir um caminho UNC malicioso, e relaya a autenticacao NTLM da vitima a um servidor SMB-alvo onde a assinatura nao e exigida. Se a identidade relayada tiver direitos de admin local no alvo, o atacante instala um servico tipo PsExec, agenda tarefas ou le compartilhamentos sensiveis como a vitima.

O ataque remonta a uma divulgacao de 2001 do Cult of the Dead Cow e foi celebremente demonstrado pelo Metasploit. Originalmente um atacante podia relayar as credenciais de uma vitima diretamente de volta ao host de origem ("reflexao de credenciais"). A Microsoft fechou esse caminho especifico com o MS08-068 em novembro de 2008, apos o que o servico SMB rejeita um desafio que reconhece como um que acabou de emitir, pelo que desde 2008 e preciso relayar a uma maquina diferente da origem. Essa unica restricao e a razao pela qual o SMB relay moderno depende de encontrar um segundo host (alvo lateral) e de a assinatura estar desabilitada nele. A vulnerabilidade do cliente SMB de 2025 CVE-2025-33073 reviveu brevemente uma escalada de privilegios estilo reflexao antes de ser corrigida, sublinhando como a fraqueza subjacente do NTLM e persistente.

flowchart LR
  P[Envenenar LLMNR/NBT-NS<br/>ou coagir caminho UNC] --> V[Vitima envia auth NTLM]
  V --> A[Relay do atacante<br/>smbrelayx / ntlmrelayx]
  A -->|relayar a um host DIFERENTE<br/>assinatura nao obrigatoria| T[(Servidor SMB-alvo)]
  T -->|vitima e admin local| X[Instalacao de servico / PsExec<br/>execucao de comandos]
  T -->|caso contrario| R[Ler compartilhamentos sensiveis]
  S[Exigir assinatura SMB em ambos os lados] -.bloqueia.-> A

Exigir a assinatura SMB tanto em clientes como em servidores e a mitigacao principal; LDAPS, ambientes somente Kerberos e a desabilitacao do NTLM reduzem ainda mais a exposicao. As ferramentas de referencia sao o smbrelayx do Impacket e o ntlmrelayx -t smb://.