Implementieren Sie NTLM-Relay-Schutzmaßnahmen wie SMB-Signierung, Extended Protection for Authentication (EPA) und die Deaktivierung von NTLM, wo immer möglich.
▸▾Herleitung der Bewertung(2)
Wie der Wert zustande kommt
- Belegte ATT&CK-Technik zum Erstzugriff+6
- Belegte Angriffskette ueber 3 Kill-Chain-Phasen+6
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Darunter eine technische Analyse mit pruefbaren Details
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- Keine CVE im Text erkannt — der Wert stuetzt sich nur auf Text- und Kontextsignale.
- Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
There and Back Again: An Operators Guide on NTLM Relaying Egress
TL;DR – What’s old is new again. Remember coercing SMB NTLM egress tradecraft to crack challenge response back in the day? We see a lot of situations in our assessments where relaying NTLM from coerced network egress is ideal when escalating locally over C2 is unattainable or firewall rules are in...
SecBoard-Einordnung
NTLM-Relaying kann zur Eskalation von Berechtigungen in einem Netzwerk führen, selbst wenn andere Angriffswege blockiert sind. Dies ermöglicht Angreifern, sich seitlich zu bewegen und kritische Systeme zu kompromittieren, indem sie Authentifizierungs-Hashes abfangen und weiterleiten. Es unterstreicht die Notwendigkeit, auch ältere Angriffstechniken zu berücksichtigen.
Realistisch schlimmster Fall: Ein Angreifer könnte durch NTLM-Relaying Administratorrechte in der Domäne erlangen. Dies würde die vollständige Kompromittierung von Systemen, Datenexfiltration und die Installation von Ransomware oder anderen schädlichen Payloads ermöglichen, selbst bei vorhandenen Firewall-Regeln, die C2-Kommunikation blockieren.
Empfehlung: Implementieren Sie NTLM-Relay-Schutzmaßnahmen wie SMB-Signierung, Extended Protection for Authentication (EPA) und die Deaktivierung von NTLM, wo immer möglich. Überprüfen und härten Sie Firewall-Regeln, um unnötigen NTLM-Egress zu verhindern und die Verwendung von NTLMv1 zu unterbinden. Führen Sie regelmäßige Audits der Active Directory-Konfiguration durch.
Betroffen
Organisationen, die Active Directory und Windows-Netzwerke nutzen, insbesondere solche mit unzureichenden Schutzmaßnahmen gegen NTLM-Relaying oder mit Firewall-Regeln, die NTLM-Egress zulassen. Betroffen sind auch Unternehmen, die auf die Sicherheit von NTLM-Authentifizierung angewiesen sind.
Prüfen
3- ▸Überprüfen Sie, ob SMB-Signierung auf allen relevanten Systemen erzwungen wird (GPO: 'Microsoft network server: Digitally sign communications (always)').
- ▸Testen Sie, ob NTLM-Authentifizierungsanfragen von Workstations und Servern an nicht autorisierte Ziele weitergeleitet werden können.
▸ 1 weitere▾ weniger
- ▸Überprüfen Sie Firewall-Regeln, um sicherzustellen, dass NTLM-Egress (insbesondere SMB-Ports 139, 445) nur zu vertrauenswürdigen Zielen erlaubt ist.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Der Artikel nennt keine spezifischen CVEs oder Tools, die für diese NTLM-Relaying-Technik verwendet werden.
- ▸Es werden keine spezifischen Branchen oder geografischen Regionen genannt, die besonders betroffen sind.
- ▸Es werden keine konkreten Zeitrahmen oder Häufigkeiten der beobachteten Angriffe angegeben.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Ja
- Exploit öffentlich verfügbar?Unklar
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Active Directory / Entra extern erreichbar?
- Haben wir Windows extern erreichbar?
- Können wir Initial Access detektieren?
- Können wir Execution detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(6)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„escalating locally over C2 is unattainable“
„coercing SMB NTLM egress tradecraft“
„relaying NTLM from coerced network egress is ideal when escalating locally“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
1
Ausnutzung
1
Einnistung
0
Fernsteuerung
0
Zielhandlung
1
Quellen & Belege· 1 Quelle
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
ATT&CK-Heatmap