Até aqui, as credenciais exploradas estavam em repouso (hashes no LSASS) ou material derivado de senha (tíquetes Kerberos). Esta aula ataca a autenticação em trânsito: em vez de roubar e reutilizar uma credencial, o atacante se posiciona no meio de uma autenticação legítima e a retransmite para um alvo de sua escolha. É o NTLM relay, frequentemente combinado com técnicas de coerção que forçam máquinas a se autenticarem contra o atacante. Juntos, formam uma das cadeias de ataque mais elegantes e perigosas do AD moderno — e, notavelmente, muitas vezes não requerem crackear nenhuma senha. Laboratório AD, sempre.

Desafio-resposta e a fraqueza do relay

Comece pelo conceito de relay (retransmissão), que se apoia numa fraqueza estrutural do NTLM. Lembre da aula Protocolos em ação: handshake TCP, DNS e inspeção real e do man-in-the-middle: o NTLM autentica por um mecanismo de desafio-resposta — o servidor manda um desafio, o cliente responde provando que conhece o hash da senha, sem enviar o hash em si. A fraqueza é que, em muitas configurações, essa autenticação não verifica com quem o cliente está realmente falando. Então, se o atacante consegue interceptar (ou receber) uma tentativa de autenticação NTLM de uma vítima, ele pode retransmiti-la para um terceiro servidor, autenticando-se lá como a vítima — sem nunca conhecer a senha ou o hash dela. O atacante é um intermediário que repassa as credenciais em trânsito: a vítima pensa que está autenticando no atacante, mas o atacante usa essa autenticação para entrar em outro lugar. A ferramenta clássica é o ntlmrelayx da suíte Impacket.

As técnicas de coerção

Mas o relay precisa de uma tentativa de autenticação para retransmitir — e é aí que entram as técnicas de coerção (coercion), que forçam uma máquina a se autenticar contra o atacante. Existem funcionalidades no Windows que, quando invocadas, fazem uma máquina (inclusive um controlador de domínio) conectar-se e autenticar-se num destino especificado. Um atacante abusa dessas funcionalidades para coagir uma máquina-alvo a autenticar-se contra a máquina do atacante — que então retransmite essa autenticação para onde quiser. Técnicas com nomes como PetitPotam e PrinterBug (esta abusando do serviço de spooler de impressão, o mesmo componente do PrintNightmare da aula Escalação de privilégios em Windows: tokens, serviços e SYSTEM) exploram exatamente isso. O especialmente perigoso é que essas técnicas podem coagir o próprio controlador de domínio a autenticar-se — e a autenticação de um DC é extremamente poderosa. A coerção fornece a autenticação; o relay a direciona ao alvo.

Coerção mais relay contra o DC

O poder da combinação coerção + relay aparece quando você a encadeia com outras fraquezas. Um cenário clássico e devastador: o atacante coage o controlador de domínio a autenticar-se contra ele (coerção), e retransmite essa autenticação do DC para um serviço vulnerável — resultando em ações executadas com a autoridade do controlador de domínio. Dependendo do serviço-alvo do relay, isso pode levar a comprometimento do domínio sem crackear uma única senha. É a materialização de que, no AD, autenticação é acesso — e se você pode fazer uma máquina privilegiada se autenticar onde você escolhe, você herda seu poder. Essas cadeias (coerção → relay → alvo vulnerável) estão entre os caminhos de comprometimento total mais discutidos no AD moderno, justamente por contornarem completamente a necessidade de senhas.

Protocolos legados, não bugs pontuais

O ponto conceitual que conecta com o bloco: assim como Kerberoasting e Pass-the-Hash, o NTLM relay explora características fundamentais dos protocolos legados, não bugs pontuais. O NTLM foi projetado numa era menos hostil, sem as proteções que hoje sabemos necessárias (verificação de com quem se fala, assinatura obrigatória). A Microsoft vem, ao longo de anos, adicionando mitigações e empurrando a indústria a abandonar o NTLM — mas ele persiste por compatibilidade, e enquanto persistir, essas cadeias de relay permanecem viáveis onde as proteções não estão ativadas. É o tema do curso inteiro: protocolos legados carregam dívidas de segurança que o trabalho ofensivo e defensivo moderno gira em torno de saldar.

SMB signing e channel binding

Do lado defensivo, as contramedidas são específicas e importantes: SMB signing (assinatura de SMB — obriga a verificação de integridade que impede o relay para SMB; habilitá-la é uma das defesas mais eficazes); LDAP signing e channel binding (proteções análogas para LDAP, fechando alvos comuns de relay); desabilitar o NTLM onde possível, migrando para Kerberos (a solução de fundo — sem NTLM, não há NTLM relay); mitigar as técnicas de coerção (aplicar patches e desabilitar funcionalidades abusáveis como o spooler onde não são necessárias); e Extended Protection for Authentication (EPA). Além disso, monitorar autenticação anômala — especialmente um DC autenticando-se em destinos incomuns, a assinatura de uma coerção. A lição: proteger a autenticação em trânsito (assinatura, verificação de destino) é tão importante quanto proteger credenciais em repouso, e o abandono progressivo do NTLM é um objetivo estratégico de segurança para qualquer organização madura.

Fontes e leituras recomendadas

  • HackTricks — seções de "NTLM Relay" e "Coercion"
  • Impacket (ntlmrelayx) — a ferramenta de relay (estudo em laboratório)
  • Microsoft — documentação sobre SMB/LDAP signing e mitigação de coerção
  • Pesquisas sobre PetitPotam e cadeias de relay (contexto autorizado)

Exercícios

  1. Qual a diferença fundamental entre roubar e reutilizar uma credencial e o NTLM relay?

    ✓ Resposta:

    Roubar/reutilizar credenciais opera sobre material em repouso (hash, tíquete) já capturado. O NTLM relay opera sobre a autenticação em trânsito: o atacante intercepta ou recebe uma tentativa de autenticação legítima e a retransmite para outro alvo, autenticando-se lá como a vítima sem nunca conhecer a senha ou o hash.

  2. Qual fraqueza estrutural do NTLM torna o relay possível?

    ✓ Resposta:

    Em muitas configurações, a autenticação NTLM (desafio-resposta) não verifica com quem o cliente está realmente se comunicando. Assim, o atacante pode repassar a resposta de autenticação da vítima para um terceiro servidor, que a aceita como legítima.

  3. O que são as técnicas de coerção, e por que forçar o próprio controlador de domínio a se autenticar é tão perigoso?

    ✓ Resposta:

    Coerção são técnicas que abusam de funcionalidades do Windows para forçar uma máquina a se autenticar contra um destino escolhido pelo atacante (ex.: PetitPotam, PrinterBug). Coagir o controlador de domínio é perigosíssimo porque a autenticação de um DC é extremamente privilegiada; retransmiti-la confere ao atacante o poder do próprio DC.

  4. Explique conceitualmente a cadeia coerção + relay e por que ela pode comprometer o domínio "sem crackear uma única senha".

    ✓ Resposta:

    O atacante coage uma máquina privilegiada (ex.: o DC) a autenticar-se contra ele (coerção) e retransmite essa autenticação a um serviço vulnerável (relay), executando ações com a autoridade da máquina coagida. Como usa autenticação legítima repassada, não precisa da senha nem do hash — daí comprometer o domínio "sem crackear uma senha".

  5. Cite três contramedidas contra NTLM relay e explique por que o SMB signing é eficaz.

    ✓ Resposta:

    Contramedidas: SMB signing, LDAP signing/channel binding, desabilitar NTLM (migrar para Kerberos), mitigar coerção, EPA. O SMB signing é eficaz porque obriga a verificação de integridade/assinatura da sessão, impedindo que uma autenticação seja retransmitida e aceita por um servidor SMB — quebrando o relay para esse alvo comum.