NTLM Relay Attack (Relai NTLM)

Définition

L'attaque NTLM Relay exploite une faiblesse structurelle du protocole d'authentification challenge-response NTLM de Microsoft, en interceptant le challenge d'authentification émis par une victime puis en le relayant tel quel vers un service cible distinct, sans jamais avoir besoin de casser ou de connaître le mot de passe réel du compte usurpé. L'attaque se déclenche typiquement lorsqu'un client Windows tente une authentification automatique non sollicitée par l'utilisateur, déclenchée via des mécanismes de résolution de noms historiquement activés par défaut comme LLMNR (Link-Local Multicast Name Resolution), NBT-NS (NetBIOS Name Service), ou une découverte automatique de proxy WPAD mal sécurisée, l'attaquant se positionnant comme intermédiaire pour capturer ce trafic d'authentification. Une fois le challenge intercepté, l'attaquant le relaie immédiatement vers un second service réseau distinct de celui initialement visé par la victime, s'authentifiant ainsi avec les privilèges effectifs de la victime sur ce service cible, sans jamais avoir eu à déchiffrer le mot de passe sous-jacent. L'impact devient particulièrement critique lorsque le service relais visé permet d'obtenir des privilèges administrateur ou d'inscrire un objet dans Active Directory. Les contre-mesures principales incluent la désactivation de LLMNR et NBT-NS, l'activation de la signature SMB obligatoire, et la protection étendue pour l'authentification (EPA) sur les services critiques.