Атака с использованием Responder.

Responder — Python-инструмент Лорана Гафье, объединяющий отравление LLMNR, NBT-NS, mDNS и DHCPv6 со встроенными ложными серверами аутентификации SMB, HTTP, FTP, MSSQL, LDAP, WPAD и прокси. Когда жертва ошибается в имени хоста или запрашивает имя, для которого нет DNS-записи, Windows откатывается к этим широковещательным/многоадресным протоколам; Responder отвечает первым, заявляет, что он и есть запрошенный хост, провоцирует жертву на аутентификацию и собирает challenge-response-хеши NTLMv1/NTLMv2 для офлайн-взлома с помощью hashcat или john.

Эксплуатируемое поведение — давнее архитектурное решение Windows: LLMNR (RFC 4795) и NBT-NS являются неаутентифицированными резервными механизмами разрешения имён, поэтому любой узел в сегменте может выдать себя за любое имя. Поскольку ответы широковещательные/многоадресные, атакующему нужно лишь присутствие на уровне L2 — без предварительных учётных данных — именно поэтому Responder обычно выдаёт хеши в первые минуты после подключения к корпоративной LAN. Запущенный пассивно в режиме --analyze, он картирует возможности отравления, не отправляя ответов; модуль WPAD -w перехватывает автонастройку прокси, чтобы принудить браузер к NTLM. Захваченные NTLMv2-хеши, устойчивые ко взлому, всё равно полезны: переданные в ntlmrelayx из Impacket, они превращаются в живые атаки NTLM Relay против узлов без подписи SMB или LDAP.

flowchart TD
  V[Жертва запрашивает неизвестное имя] --> Q{DNS разрешает?}
  Q -->|Нет| B[Широковещание LLMNR / NBT-NS / mDNS]
  B --> R["Responder отвечает первым<br/>'этот хост — я'"]
  R --> AU[Ложный сервер SMB/HTTP<br/>запрашивает аутентификацию]
  AU --> H[Захват challenge-response NTLMv2]
  H --> C[Офлайн-взлом<br/>hashcat / john]
  H --> RL[Живая ретрансляция через ntlmrelayx]
  G[Отключение LLMNR и NBT-NS через GPO] -.предотвращает.-> B

Защитники отключают LLMNR и NBT-NS через GPO, обязывают подпись SMB и LDAP, внедряют Extended Protection for Authentication и сегментируют сети, чтобы исключить чужой L2-доступ. Канарейки-приманки учётных данных и сигнатуры IDS для отравленных ответов LLMNR помогают обнаружить использование Responder.