Glosario
NTLM relay
Ataque que reenvía en tiempo real la autenticación NTLM de una víctima a otro servidor y se autentica como ella sin conocer su contraseña.
En un ataque NTLM relay, un atacante situado entre un cliente y un servidor (a menudo tras un envenenamiento LLMNR o forzando a un equipo a autenticarse) reenvía el intercambio de desafío-respuesta NTLM a un destino distinto. Como NTLM no vincula de forma predeterminada la autenticación a un servidor o canal concreto, el destino la acepta y el atacante actúa con los derechos de la víctima. Retransmitir la cuenta de equipo de un controlador de dominio a la inscripción web de AD CS o a LDAP puede llevar al compromiso total del dominio.
Entre las mitigaciones figuran exigir la firma SMB, la firma LDAP y el enlace de canal LDAP, habilitar Protección ampliada para la autenticación (Extended Protection for Authentication) en servicios web como AD CS y Exchange, añadir las cuentas privilegiadas a Protected Users y reducir el uso de NTLM en general.
Consulte Retirar los protocolos heredados.