T1557.001: 名称解析投毒和 SMB 中继

摘要

通过响应 LLMNR/NBT-NS/mDNS 网络流量，攻击者可能假冒名称解析的权威来源，以强制与攻击者控制的系统通信。(Citation: BlackCat ransomware) 此活动可用于收集或中继身份验证材料。 链路本地多播名称解析（LLMNR）和 NetBIOS 名称服务（NBT-NS）是 Microsoft Windows 组件，用作主机标识的替代方法。LLMNR 基于域名系统（DNS）格式，允许同一本地链路上的主机对其他主机执行名称解析。NBT-NS 通过其 NetBIOS 名称标识本地网络上的系统。(Citation: Wikipedia LLMNR)(Citation: TechNet NetBIOS) 多播域名系统（mDNS）是一种零配置服务，用于将以 “.local” 作为顶级域的主机名解析为 IP 地址。MDNS 基于域名系统（DNS）格式，使用多播允许同一网段上的主机对其他主机执行名称解析。(Citation: mDNS RFC) 攻击者可以通过响应 LLMNR（UDP 5355）/NBT-NS（UDP 137）/mDNS（UDP 5353）流量（仿佛他们知道所请求主机的身份）来假冒受害者网络上名称解析的权威来源，有效地对服务进行投毒，使受害者与攻击者控制的系统通信。如果所请求的主机属于需要标识/身份验证的资源，则用户名和 NTLMv2 哈希将被发送到攻击者控制的系统。然后，攻击者可以通过监控端口流量的工具或通过[网络嗅探](https://attack.mitre.org/techniques/T1040)收集通过网络发送的哈希信息，并通过[暴力破解](https://attack.mitre.org/techniques/T1110)离线破解哈希以获取明文密码。 在某些情况下，当攻击者可以访问位于系统之间身份验证路径上的系统时，或当使用凭据的自动化扫描尝试向攻击者控制的系统进行身份验证时，NTLMv1/v2 哈希可以被拦截并中继，以访问目标系统并对其执行代码。中继步骤可以与投毒一起进行，但也可能独立于它。(Citation: byt3bl33d3r NTLM Relaying)(Citation: Secure Ideas SMB Relay) 此外，攻击者可能将 NTLMv1/v2 哈希封装到各种其他协议中，如 LDAP、MSSQL 和 HTTP，以扩展并使用多个服务与有效的 NTLM 响应。 可以使用若干工具在本地网络内对名称服务进行投毒，例如 NBNSpoof、Metasploit 和 [Responder](https://attack.mitre.org/software/S0174)。(Citation: GitHub NBNSpoof)(Citation: Rapid7 LLMNR Spoofer)(Citation: GitHub Responder)