Glosario
Envenenamiento de LLMNR y NBT-NS
Ataque en el que un equipo de la red local responde a las búsquedas de nombres por difusión para capturar la autenticación NetNTLM de los clientes Windows.
Cuando DNS no puede resolver un nombre, Windows recurre a protocolos de difusión: Link-Local Multicast Name Resolution (LLMNR), NetBIOS Name Service (NBT-NS) y, en las versiones recientes, mDNS. Cualquier equipo del mismo segmento puede responder a esas difusiones. Un atacante que responde «soy yo» recibe el intento de conexión del cliente, que a menudo incluye una autenticación NetNTLMv2 que puede descifrarse sin conexión o retransmitirse a otro servidor.
La defensa consiste en desactivar estos mecanismos de reserva: deshabilite LLMNR por directiva de grupo, deshabilite NetBIOS sobre TCP/IP mediante DHCP o la configuración del adaptador, bloquee mDNS y controle WPAD. Exigir la firma SMB y LDAP limita los destinos a los que se puede retransmitir una autenticación capturada.
Consulte Retirar los protocolos heredados.