CrackMapExec SMB Relay List

Définition

La SMB Relay List désigne, dans le cadre d'une attaque de relais NTLM, la liste des machines cibles vers lesquelles une authentification interceptée peut être retransmise avec succès pour obtenir un accès non autorisé, en particulier celles n'imposant pas la signature SMB obligatoire (SMB Signing), un contrôle qui bloque nativement toute tentative de relais réussie sur le protocole SMB. Des outils comme ntlmrelayx d'Impacket ou le module SMB relay de Responder permettent de cibler dynamiquement une telle liste de machines vulnérables, généralement établie au préalable par une phase de reconnaissance dédiée identifiant, sur l'ensemble du réseau interne, les hôtes n'exigeant pas cette signature — une configuration encore fréquente sur les postes de travail et certains serveurs applicatifs, bien que rendue obligatoire par défaut sur les contrôleurs de domaine depuis les mises à jour de sécurité récentes de Microsoft. Une fois une authentification NTLM interceptée, par exemple via Responder exploitant LLMNR ou via une technique de coercion comme PetitPotam, l'attaquant relaie cette authentification vers l'une des machines de sa liste cible, obtenant un accès équivalent à celui de la victime relayée sur ce système, souvent suffisant pour exécuter du code à distance via psexec.py si l'identité relayée dispose de droits d'administration locale. La désactivation générale de NTLM au profit de Kerberos reste la mitigation structurelle la plus efficace.