Detecção de Relay NTLM com Correlação de Eventos

Aviso Legal sobre Testes Autorizados: As técnicas ofensivas e simulações de ataque descritas nesta habilidade destinam-se exclusivamente a testes de penetração autorizados, engajamentos de equipe vermelha (red team), exercícios de equipe roxa (purple team) e pesquisa de segurança conduzida com permissão explícita por escrito do proprietário do sistema. O uso não autorizado dessas técnicas contra sistemas que você não possui ou tem permissão para testar é ilegal e antiético. Opere sempre dentro do escopo do seu engajamento e cumpra as leis e regulamentos aplicáveis.

Visão Geral

Ataques de relay NTLM interceptam mensagens de autenticação NTLM e as encaminham para um serviço de destino para obter acesso não autorizado. Atacantes usam ferramentas como Responder para envenenamento LLMNR/NBT-NS/mDNS, ntlmrelayx (Fox-IT/Impacket) para relay multi-protocolo e técnicas de coerção como PetitPotam (MS-EFSRPC) e DFSCoerce para forçar a autenticação de alvos de alto valor, como controladores de domínio. Esta habilidade fornece um framework abrangente de correlação de eventos usando análise do Evento de Segurança do Windows 4624 LogonType 3, detecção de incompatibilidade IP-para-nome de host, identificação de tráfego Responder, auditoria de assinatura SMB/LDAP e detecção de downgrade NTLM para identificar ataques de relay em ambientes Active Directory.

Quando Usar

• Caça por atividade de relay de credenciais em ambientes Active Directory onde a autenticação NTLM ainda está em uso
• Investigação de alertas de anomalias de autenticação onde o IP de origem não corresponde à estação de trabalho esperada
• Auditoria de imposição de assinatura SMB e assinatura LDAP para avaliar a exposição a ataques de relay
• Detecção de ataques de downgrade NTLM onde NTLMv2 é forçado para NTLMv1 para facilitar cracking offline ou relay
• Construção de regras de correlação SIEM para MITRE ATT&CK T1557.001 (Envenenamento LLMNR/NBT-NS e Relay SMB)
• Resposta a alertas de coerção PetitPotam, DFSCoerce ou PrinterBug que podem preceder ataques de relay
• Durante exercícios de equipe roxa validando a detecção de relay NTLM e a imposição de assinatura SMB

Não use sem coleta centralizada de Logs de Eventos de Segurança do Windows, como substituto para impor assinatura SMB e Proteção Estendida para Autenticação (EPA), que previnem ataques de relay no nível do protocolo, ou sem um inventário IP-para-nome de host para correlação.

Pré-requisitos

• Política de Auditoria Avançada do Windows configurada para capturar IDs de Evento 4624, 4625, 4648, 4776 e 8004
• Coleta centralizada de logs via Encaminhamento de Eventos do Windows (WEF) ou envio baseado em agente para SIEM
• Plataforma SIEM (Splunk, Elastic, Microsoft Sentinel) com capacidade de correlação e alerta
• Inventário de mapeamento de endereço IP para nome de host (logs DHCP, registros DNS ou CMDB)
• Monitoramento de rede para tráfego LLMNR (UDP 5355), NBT-NS (UDP 137) e mDNS (UDP 5353)
• Compreensão de MITRE ATT&CK T1557.001 e T1187 (Autenticação Forçada)

Fluxo de Trabalho

Etapa 1: Entender o Fluxo do Ataque de Relay NTLM

O ataque de relay NTLM segue um padrão de três fases: coerção/envenenamento, interceptação e relay.

Fase 1 -- Coerção ou Envenenamento: O atacante força ou engana uma vítima para iniciar a autenticação NTLM. Métodos incluem envenenamento LLMNR/NBT-NS (Responder), PetitPotam (abuso de MS-EFSRPC), PrinterBug (SpoolService) e DFSCoerce.

Fase 2 -- Interceptação: O atacante captura as mensagens NTLM Tipo 1 (Negociar) e Tipo 3 (Autenticar) da vítima.

Fase 3 -- Relay: O atacante encaminha as mensagens NTLM capturadas para um serviço de destino (SMB, LDAP, HTTP, MSSQL) para autenticar como a vítima. Isso só é bem-sucedido quando a assinatura de mensagens não é imposta.

Victim ──NTLM Negotiate──> Attacker ──NTLM Negotiate──> Target
Victim <──NTLM Challenge── Attacker <──NTLM Challenge── Target
Victim ──NTLM Authenticate──> Attacker ──NTLM Authenticate──> Target
                                                         ↓
                                              Attacker authenticated
                                              as Victim on Target

Insight Chave de Detecção: Em um ataque de relay, o Evento 4624 no destino mostrará o nome de usuário da vítima, mas o endereço IP do atacante. O campo WorkstationName ainda pode refletir a máquina da vítima. Essa incompatibilidade IP-para-nome de host é o principal sinal de detecção.

Etapa 2: Análise do Evento 4624 LogonType 3 para Detecção de Relay

# Splunk: Detectar Incompatibilidades IP-para-Nome de Host em Logons de Rede
# Detecção principal de relay NTLM -- correlaciona WorkstationName com IpAddress

index=wineventlog EventCode=4624 LogonType=3

…