¿Cómo logra un atacante tomar el control total de tu red corporativa en minutos aunque todos tus empleados tengan contraseñas de veinte caracteres imposibles de adivinar? La respuesta está en los ataques de retransmisión NTLM Relay. En lugar de intentar romper tu clave, el intruso intercepta la autenticación en tránsito y la reenvía en vivo.
En esta guía técnica de ViciousByte analizamos cómo ocurre este escenario en entornos reales, qué evidencia dejan nuestras pruebas de laboratorio y qué controles de ingeniería de seguridad y operaciones de Red Team permiten prevenirlo.
1. Anatomía técnica del vector y superficie de exposición
Cuando un equipo busca una carpeta compartida inexistente o recibe una petición de coerción por red, Windows intenta autenticarse automáticamente usando el protocolo heredado NTLM.
Observa esta prueba en nuestro laboratorio de Red Team. Al no tener obligatoria la firma criptográfica SMB Signing, reenviamos el desafío capturado hacia un servidor interno y ejecutamos comandos.
$ python3 audit_smb_signing.py --subnet 10.20.10.0/24
Segmento evaluado: 10.20.10.0/24 (VLAN de servidores corporativos)
Hosts analizados: 42 servidores Windows Server en dominio
SMB Signing requerido: Solo en 4 Controladores de Dominio (38 sin exigir firma)
Protocolos ruidosos: LLMNR (UDP 5355) y NBT-NS (UDP 137) activos en clientes
Prueba de laboratorio: Retransmisión NTLMv2 hacia SRV-APP-04 (signing:False)El impacto es devastador cuando esa autenticación se retransmite hacia el servicio de certificados del dominio o hacia LDAP sin firma, permitiendo emitir un certificado de administrador.
2. Escalada operativa y pruebas de laboratorio
Aquí la longitud de la contraseña no importa en absoluto, porque el servidor víctima valida la respuesta legítima generada por el equipo engañado en ese mismo milisegundo.
Mira en esta segunda captura cómo detectamos plantillas de certificados expuestas sin protección extendida de autenticación que permitirían secuestrar todo el bosque de Active Directory.
$ python3 check_ad_relay_targets.py --dc dc01.corp.internal
Controlador auditado: dc01.corp.internal (Active Directory Domain Services)
LDAP Server Signing: Valor 1 (Negociable -> Permite bind sin firma en LDAP)
LDAPS Channel Binding: Deshabilitado (Vulnerable a retransmisión sobre TLS)
Rol AD CS Web Enroll: Activo en http://ca01.corp.internal/certsrv/ (Sin EPA)
Vector de escalada: Coerción de máquina -> Relay a ESC8 -> Ticket TGT AdminPara cerrar esta puerta de forma definitiva debemos exigir firma SMB en todas las estaciones y servidores, apagar protocolos de resolución local obsoletos y activar enlace de canal.
3. Mitigación, auditoría y defensa en profundidad
En esta tercera prueba aplicamos las políticas de endurecimiento en el dominio y comprobamos que el intento de retransmisión es rechazado de inmediato por firma inválida.
- Referencia técnica 1 (Microsoft Security Advisory ADV190023 — Microsoft Guidance for Enabling LDAP Channel Binding and LDAP Signing): Habilitar obligatoriamente LDAP Signing y LDAP Channel Binding (CBT) impide que un atacante en la red retransmita credenciales NTLM hacia los controladores de dominio.
- Referencia técnica 2 (MITRE ATT&CK T1557.001 — Adversary-in-the-Middle: LLMNR/NBT-NS Poisoning and SMB Relay): Los atacantes envenenan la resolución de nombres local o fuerzan autenticaciones para retransmitir desafíos NTLMv2 hacia servidores que no exigen firma SMB.
- Referencia técnica 3 (Microsoft Learn — Overview of Server Message Block (SMB) Signing and NTLM Relay Prevention): La firma SMB autentica criptográficamente tanto al usuario como al servidor en cada mensaje, neutralizando los ataques de retransmisión en tránsito.
En ViciousByte ejecutamos auditorías de Red Team en redes internas para descubrir rutas de retransmisión y escalada de privilegios antes de que un ransomware las utilice contra tu empresa.
Una contraseña fuerte no sirve si el protocolo permite reenviarla. Si buscas blindar tu red corporativa, acércate a ViciousByte: desarrollo de software, seguridad TI y Red Team.
Canales oficiales de ViciousByte
- Web: https://viciousbyte.com
- Telegram: https://t.me/viciousbyte
- YouTube: https://www.youtube.com/@icrumor
- Instagram: https://www.instagram.com/9viciousbyte
- Facebook: https://www.facebook.com/viciousbyte
- Ciberseguridad
- NTLMRelay
- ActiveDirectory
- SMBSigning
- RedTeam
- ViciousByte
