Glossar
NTLM-Relay
Angriff, der die NTLM-Authentifizierung eines Opfers in Echtzeit an einen anderen Server weiterleitet und sich so ohne Kennwort als das Opfer authentifiziert.
Bei einem NTLM-Relay-Angriff leitet ein Angreifer, der sich zwischen Client und Server befindet (oft nach LLMNR-Poisoning oder indem er einen Rechner zur Authentifizierung zwingt), den NTLM-Challenge-Response-Austausch an ein anderes Ziel weiter. Da NTLM die Authentifizierung standardmäßig nicht an einen bestimmten Server oder Kanal bindet, akzeptiert das Ziel sie, und der Angreifer handelt mit den Rechten des Opfers. Wird das Computerkonto eines Domänencontrollers an die AD CS-Webregistrierung oder an LDAP weitergeleitet, kann das zur vollständigen Kompromittierung der Domäne führen.
Zu den Gegenmaßnahmen gehören erzwungene SMB-Signierung, LDAP-Signierung und LDAP-Kanalbindung, der erweiterte Schutz für die Authentifizierung (Extended Protection for Authentication) auf Webdiensten wie AD CS und Exchange, die Aufnahme privilegierter Konten in Protected Users und eine insgesamt geringere NTLM-Nutzung.