Hinweis auf verfuegbaren Angriffscode: proof of concept+10
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Signed, Sealed, and Relayed, NTLM-style: Bypassing LDAP Signing Through Reauthentication
Eine Schwachstelle in LDAP und SMB ermöglichte NTLM-Relay-Angriffe, selbst wenn die Signierung aktiviert war. Betroffen waren alle Windows Server von 2016 bis 2025. Angreifer konnten Domänencontroller kompromittieren und so die gesamte Domäne übernehmen. Microsoft hat die Lücken im September und Oktober 2026 stillschweigend behoben; Administratoren sollten sicherstellen, dass ihre Systeme auf dem neuesten Stand sind.
SecBoard-Einordnung
Diese Schwachstelle ermöglichte Angreifern, NTLM-Relay-Angriffe durchzuführen und Domänencontroller zu kompromittieren, selbst wenn LDAP- und SMB-Signierung aktiviert waren, was als wirksame Schutzmaßnahme galt. Dies kann zur vollständigen Übernahme der Domäne führen.
Realistisch schlimmster Fall: Der schlimmste Fall ist die vollständige Kompromittierung des Domänencontrollers und somit die Übernahme der gesamten Domäne durch einen Angreifer.
Empfehlung: Administratoren sollten sicherstellen, dass alle Windows Server von 2016 bis 2025 vollständig mit den von Microsoft im September und Oktober 2026 veröffentlichten Patches aktualisiert sind.
Betroffen
Alle Windows Server von 2016 bis 2025 sind betroffen.
Prüfen
3- ▸Überprüfen Sie, ob alle Windows Server (2016-2025) die Sicherheitsupdates vom September und Oktober 2026 für SMB und LDAP installiert haben.
- ▸Stellen Sie sicher, dass die LDAP- und SMB-Signierung auf allen Domänencontrollern und Mitgliedsservern korrekt erzwungen wird.
▸ 1 weitere▾ weniger
- ▸Überwachen Sie Active Directory-Protokolle auf ungewöhnliche NTLM-Authentifizierungsversuche oder Anmeldeaktivitäten, die auf Relay-Angriffe hindeuten könnten.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, welche spezifischen CVEs mit diesen Schwachstellen verbunden sind.
- ▸Der genaue Mechanismus des Bypasses der Signierung ist im Artikel nicht detailliert beschrieben.
- ▸Es werden keine spezifischen IOCs oder Tools genannt, die bei diesen Angriffen verwendet wurden.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Möglich
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Active Directory / Entra extern erreichbar?
- Haben wir Windows extern erreichbar?
- Können wir Credential Access detektieren?
MITRE ATT&CK(5)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Kompromittierung von Domänencontrollern und Übernahme der gesamten Domäne.“
„NTLM-Relay-Angriffe können zur Umgehung von Sicherheitsmechanismen führen.“
„Vollständige Domänenübernahme könnte zu weitreichenden Auswirkungen führen, einschließlich Datenverschlüsselung.“
„NTLM-Relay-Angriffe“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
0
Ausnutzung
0
Einnistung
0
Fernsteuerung
0
Zielhandlung
1
Quellen & Belege· 1 Quelle
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
ATT&CK-Heatmap