Iscriviti al webinar gratuito del 20 Ottobre per diventare Ethical Hacker! Scopri di più
Avvelenamento LLMNR/NBT-NS e SMB Relay: LLMNR/NBT-NS Poisoning and SMB Relay (T1557.001)
La tecnica T1557.001 sfrutta due protocolli di risoluzione nomi legacy di Windows — Link-Local Multicast Name Resolution (LLMNR, UDP 5355) e NetBIOS Name Service (NBT-NS, UDP 137) — per intercettare credenziali di rete. Quando un client Windows non riesce a risolvere un hostname via DNS, ricade automaticamente su questi protocolli inviando query broadcast/multicast alla sottorete. Un attaccante posizionato sullo stesso segmento risponde affermativamente a qualsiasi richiesta, spacciandosi per la risorsa cercata e inducendo la vittima ad autenticarsi verso il sistema controllato dall'avversario.
Il risultato è la cattura di hash NTLMv2 contenenti username e challenge/response, che possono essere crackati offline via brute force per ottenere password in chiaro, oppure — scenario più insidioso — relayati in tempo reale verso altri servizi (SMB, LDAP, MSSQL, HTTP) per ottenere esecuzione di codice senza mai conoscere la password originale.
ATT&CK mappa la tecnica su due tattiche complementari: TA0006 (Credential Access) per la fase di harvesting degli hash e TA0009 (Collection) per l'aggregazione del materiale autenticativo. Nella kill chain si colloca tipicamente dopo l'initial access, come primo passo del movimento laterale interno. L'impatto è amplificato dalla natura silenziosa dell'attacco: nessun exploit, nessun payload malevolo sull'endpoint vittima, solo traffico di rete legittimo che viene intercettato passivamente. In domini Active Directory senza SMB signing enforced, un singolo hash relayato può portare a compromissione di file server o workstation privilegiate in pochi minuti.
L'attacco richiede posizionamento su un segmento L2 dove transitino query di risoluzione nomi. Il tool di riferimento è Responder (open source), scritto in Python e mantenuto da Laurent Gaffie. Su una macchina Kali collegata alla LAN target, l'invocazione classica è:
responder -I eth0 -wv
Il flag -I specifica l'interfaccia, -w abilita il proxy WPAD (utile per intercettare autenticazioni HTTP da browser che cercano wpad.dat), -v aumenta la verbosità. Gli hash NetNTLMv2 catturati vengono salvati in /usr/share/responder/logs/ pronti per essere passati a hashcat (open source) con modalità 5600. Il gruppo Lazarus Group ha documentatamente usato Responder con la sintassi [Responder file path] -i [IP] -rPv, dove -r abilita risposte a query NetBIOS wildcard e -P forza autenticazione proxy.
Per lo scenario relay, la coppia vincente è Responder in modalità analisi (con LLMNR/NBT-NS disattivati nel config file Responder.conf impostando SMB = Off e HTTP = Off) combinato con ntlmrelayx.py della suite Impacket (open source):
ntlmrelayx.py -tf targets.txt -smb2support -c "powershell -enc
Il file targets.txt elenca host con SMB signing disabilitato, individuabili preventivamente con nmap --script smb2-security-mode -p445
Su ecosistema Windows/PowerShell, Inveigh (open source) è l'equivalente nativo utilizzato da Wizard Spider via cmdlet Invoke-Inveigh. Un'invocazione tipica in un red team engagement da endpoint compromesso:
Invoke-Inveigh -ConsoleOutput Y -NBNS Y -mDNS Y -Proxy Y -MachineAccounts Y
Altri framework che integrano Inveigh sono Empire e PoshC2 (entrambi open source), utili per orchestrare la cattura da agent già deployati. Per lab e training, Metasploit (freemium) offre il modulo auxiliary/spoof/llmnr/llmnr_response e auxiliary/server/capture/smb.
Regola di ingaggio: prima di lanciare Responder in produzione client, ottenere autorizzazione scritta sul segmento di rete specifico — l'attacco cattura credenziali di utenti terzi non target.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.