Glossar
LLMNR- und NBT-NS-Poisoning
Angriff, bei dem ein Host im lokalen Netz auf Broadcast-Namensabfragen antwortet, um NetNTLM-Authentifizierungen von Windows-Clients abzufangen.
Kann DNS einen Namen nicht auflösen, greift Windows auf Broadcast-Protokolle zurück: Link-Local Multicast Name Resolution (LLMNR), NetBIOS Name Service (NBT-NS) und in neueren Versionen mDNS. Jeder Rechner im selben Segment kann auf diese Broadcasts antworten. Ein Angreifer, der „das bin ich“ antwortet, erhält den Verbindungsversuch des Clients, oft einschließlich einer NetNTLMv2-Authentifizierung, die sich offline knacken oder an einen anderen Server weiterleiten lässt.
Die Abwehr besteht darin, diese Fallbacks abzuschalten: LLMNR per Gruppenrichtlinie deaktivieren, NetBIOS über TCP/IP per DHCP oder in den Adaptereinstellungen deaktivieren, mDNS blockieren und WPAD kontrollieren. Erzwungene SMB- und LDAP-Signierung schränkt ein, wohin eine abgefangene Authentifizierung weitergeleitet werden kann.