Empoisonnement LLMNR/NBT-NS

Définition

L'empoisonnement LLMNR/NBT-NS désigne l'exploitation de deux protocoles de résolution de noms auxiliaires, Link-Local Multicast Name Resolution et NetBIOS Name Service, activés par défaut sur la plupart des environnements Windows en complément du DNS classique, et utilisés par un poste lorsque la résolution DNS standard échoue à trouver le nom demandé, par exemple en cas de faute de frappe dans un chemin de partage réseau. Ces protocoles fonctionnent par diffusion sur le segment réseau local plutôt que par une requête ciblée vers un serveur désigné, ce qui permet à n'importe quel poste présent sur le même segment de répondre frauduleusement à la demande de résolution en se faisant passer pour la ressource recherchée, sans qu'aucune authentification ne vienne valider la légitimité de cette réponse. Un attaquant écoutant ces diffusions peut ainsi capturer les tentatives d'authentification NTLM automatiquement envoyées par le poste victime vers la fausse ressource qu'il prétend être, ces informations d'authentification interceptées pouvant ensuite être relayées vers un autre système ou soumises à une attaque de cassage hors ligne. Cette faiblesse reste l'une des techniques d'accès initial les plus fréquemment exploitées lors des tests d'intrusion internes en environnement Active Directory. Pour les équipes défensives, la contre-mesure consiste à désactiver LLMNR et NBT-NS lorsqu'ils ne sont pas strictement nécessaires, et à imposer la signature SMB obligatoire pour neutraliser l'impact d'un relais d'authentification capturée.