Un nom de partage mal tapé, un lecteur réseau qui pointe vers un serveur décommissionné, une imprimante qui répond encore sous son ancien nom : ce sont des incidents anodins, qui arrivent des dizaines de fois par jour sur n'importe quel réseau d'entreprise.
Quand une requête DNS échoue, Windows ne s'arrête pas là : il bascule sur deux protocoles de secours hérités, LLMNR et NBT-NS, et diffuse sa demande à voix haute sur tout le segment réseau local. Le problème est structurel — ces protocoles n'authentifient jamais la réponse. N'importe quelle machine du segment peut répondre qu'elle est la ressource recherchée. Un attaquant présent sur le réseau n'a donc qu'à écouter et répondre le premier pour récupérer une empreinte d'authentification NTLMv2 directement exploitable.
Cette technique ne repose sur aucune faille logicielle : elle exploite un comportement par défaut de Windows, resté actif pour des raisons de compatibilité. C'est l'une des premières manœuvres exécutées lors d'un test d'intrusion interne, car elle permet, en quelques minutes et sans aucun identifiant préalable, de récupérer des empreintes d'authentification NTLM directement exploitables.
Cet article détaille le mécanisme technique du LLMNR/NBT-NS poisoning, l'usage de l'outil Responder qui l'a popularisé, les conditions nécessaires à son exploitation, la manière dont l'équipe Piirates l'emploie lors de ses missions de test d'intrusion, la méthodologie de détection appliquée en mission, et les contre-mesures qui permettent d'en réduire durablement l'impact.
L'essentiel en 30 secondes
Classification : MITRE ATT&CK T1557.001 (LLMNR/NBT-NS Poisoning and SMB Relay), sous-technique de l'Adversary-in-the-Middle.
Prérequis attaquant : une simple connexion au réseau interne. Ni identifiant, ni droits, ni vulnérabilité à exploiter.
Outil de référence : Responder, qui écoute et empoisonne LLMNR, NBT-NS et mDNS pour capturer les authentifications NTLMv2.
Ce qu'il rend possible : cracking hors ligne des empreintes capturées, ou relais direct vers un service acceptant NTLM pour un accès Active Directory sans jamais casser le mot de passe.
Ce qui l'arrête : désactivation de LLMNR et NBT-NS, signature SMB obligatoire, et mots de passe longs. Jamais une mesure seule.
Chez Piirates : souvent la première capture d'un pentest d'infrastructure interne, avant même toute reconnaissance approfondie.
Le LLMNR/NBT-NS poisoning, parfois appelé empoisonnement de résolution de noms, désigne l'ensemble des techniques permettant à un attaquant d'usurper les réponses des protocoles LLMNR (Link-Local Multicast Name Resolution) et NBT-NS (NetBIOS Name Service) sur un réseau local. Ces deux protocoles servent de mécanismes de secours à la résolution de noms lorsque le DNS échoue. Contrairement à une vulnérabilité logicielle ponctuelle, cette technique exploite un comportement natif de Windows, activé par défaut depuis de nombreuses versions pour garantir la compatibilité avec des environnements anciens.
Le MITRE ATT&CK référence cette technique sous l'identifiant T1557.001 (LLMNR/NBT-NS Poisoning and SMB Relay), rattachée à la technique parente T1557 (Adversary-in-the-Middle). Elle est le plus souvent mise en œuvre à l'aide de Responder, un outil open source devenu un standard de fait dans l'écosystème offensif, qui écoute passivement le réseau et répond aux requêtes de résolution de noms en se faisant passer pour la ressource recherchée.
Cet article détaille le mécanisme technique du LLMNR/NBT-NS poisoning, les conditions nécessaires à son exploitation, la manière dont l'équipe Piirates l'utilise dans le cadre de ses missions de test d'intrusion, la méthodologie de détection appliquée en mission, et les mesures de défense qui permettent d'en réduire durablement l'impact.
1. Le LLMNR/NBT-NS poisoning, un comportement Windows par défaut transformé en vecteur d'attaque
Lorsqu'un poste Windows doit résoudre un nom d'hôte, il interroge d'abord le serveur DNS. Si cette résolution échoue, par exemple à cause d'une faute de frappe dans un nom de partage, d'un lecteur réseau mal configuré ou d'une ressource qui n'existe plus, le système ne s'arrête pas là. Il bascule sur LLMNR, puis sur NBT-NS, deux protocoles qui diffusent la demande à l'ensemble du segment réseau local : en substance, la machine demande à voix haute qui connaît le nom qu'elle cherche.
La faiblesse est structurelle : ces protocoles n'authentifient pas les réponses. N'importe quelle machine du segment peut répondre qu'elle est la ressource demandée. Un attaquant se contente donc d'écouter ces diffusions et de répondre systématiquement par l'affirmative. Le poste victime, convaincu d'avoir trouvé sa ressource, engage alors une authentification vers la machine de l'attaquant et lui transmet une empreinte d'authentification NTLMv2, dérivée des identifiants de l'utilisateur.
Ce comportement est documenté et exploité depuis le début des années 2010, et n'a rien perdu de sa pertinence. LLMNR et NBT-NS restent activés par défaut sur la grande majorité des parcs Windows, souvent sans que les équipes IT en aient conscience. C'est précisément ce qui explique qu'un simple raccordement au réseau interne, une prise réseau dans une salle de réunion, un poste compromis ou un accès Wi-Fi rattaché au bon segment, suffise à collecter des empreintes d'authentification. Seul un test d'intrusion mené en conditions réelles permet de mesurer l'ampleur réelle de cette exposition sur un parc donné.
Toutes nos missions sont spécifiques
Parce que vos enjeux le sont !
Le test d'intrusion est avant tout une philosophie qui, couplé avec nos compétences techniques multiples peut s'adapter aux différentes cibles.
2. Comment fonctionne une attaque LLMNR/NBT-NS avec Responder : mécanisme technique
Une attaque de LLMNR/NBT-NS poisoning vise toujours le même objectif : récupérer une empreinte d'authentification en se faisant passer pour une ressource que la victime cherche à joindre. Le déroulement suit généralement les mêmes étapes.
Écoute passive du réseau. L'attaquant place son outil, le plus souvent Responder, en écoute sur le segment. À ce stade, aucun paquet malveillant n'est émis : l'outil se contente de surveiller les diffusions LLMNR, NBT-NS et mDNS générées naturellement par les postes du réseau lorsque leurs résolutions DNS échouent.
Déclenchement par un échec de résolution. L'attaque ne provoque rien de force : elle attend un événement banal et fréquent. Un utilisateur tape un nom de partage inexistant, un lecteur réseau mappé pointe vers un serveur décommissionné, une imprimante répond sous un ancien nom. Chacune de ces erreurs quotidiennes déclenche une diffusion de résolution de nom sur le segment.
Réponse usurpée. Dès qu'une diffusion est captée, l'outil répond immédiatement à la victime en affirmant être la ressource recherchée. Le poste victime, qui ne dispose d'aucun moyen de vérifier cette affirmation, considère la réponse comme légitime et engage une connexion vers la machine de l'attaquant.
Capture de l'empreinte d'authentification. En se connectant, le poste victime tente de s'authentifier, généralement via SMB, et transmet une empreinte d'authentification NTLMv2 dérivée des identifiants de l'utilisateur ou du compte machine. L'attaquant enregistre cette empreinte sans que la victime ne perçoive quoi que ce soit d'anormal, la tentative échouant simplement de son point de vue.
Deux voies d'exploitation. À partir de l'empreinte capturée, l'attaquant dispose de deux options. La première consiste à tenter de retrouver le mot de passe hors ligne par cassage, une opération d'autant plus rapide que le mot de passe est court ou prévisible. La seconde, plus redoutable, consiste à relayer directement l'authentification vers un autre service acceptant NTLM, sans jamais chercher à casser le mot de passe. C'est la logique du relais d'authentification, que nous approfondissons dans le cadre du pentest Active Directory.
Le rôle de l'IPv6 et de WPAD. Des variantes proches amplifient l'attaque. L'empoisonnement DHCPv6 exploite la préférence de Windows pour IPv6, même inutilisé, pour se positionner comme serveur DNS. L'usurpation de la configuration WPAD, utilisée pour la découverte automatique de proxy, permet de capturer des authentifications lors de la navigation. Ces variantes partagent le même principe : usurper une résolution automatique à laquelle Windows fait confiance par défaut.
3. Conditions nécessaires à l'exploitation
Le LLMNR/NBT-NS poisoning ne fonctionne pas dans n'importe quel contexte. Plusieurs conditions doivent être réunies pour qu'une capture aboutisse et devienne exploitable.
LLMNR ou NBT-NS actifs sur les postes. C'est la condition première. Tant que ces protocoles restent activés, ce qui est le cas par défaut, le moindre échec de résolution DNS ouvre une fenêtre d'usurpation.
Une présence sur le même segment de diffusion que les victimes. LLMNR et NBT-NS sont des protocoles de diffusion locale. L'attaquant doit se trouver sur le même segment réseau que les postes ciblés, via une prise physique, un poste compromis ou un accès Wi-Fi rattaché au bon VLAN. Une segmentation stricte réduit d'autant la portée de l'attaque.
L'absence de signature SMB obligatoire pour la voie du relais. Le cassage hors ligne d'une empreinte capturée ne dépend que de la robustesse du mot de passe. En revanche, le relais d'authentification vers un service SMB n'est possible que si la signature SMB n'est pas imposée sur la cible. Lorsqu'elle est obligatoire, le relais SMB direct échoue.
Des mots de passe insuffisamment robustes pour la voie du cassage. Une empreinte NTLMv2 capturée reste inexploitable par cassage si le mot de passe sous-jacent est long et aléatoire. À l'inverse, un mot de passe court, courant ou contenant le nom de l'organisation est retrouvé rapidement hors ligne.
4. Comment Piirates utilise le LLMNR/NBT-NS poisoning en mission de pentest
Le LLMNR/NBT-NS poisoning occupe une place précise dans la méthodologie de test d'intrusion de Piirates, en particulier lors des missions de pentest d'infrastructure interne et des campagnes de red team simulant un attaquant déjà positionné sur le réseau de l'entreprise.
Souvent la toute première capture d'une mission interne. Parce qu'elle ne nécessite ni identifiant ni droits particuliers, cette technique est fréquemment la première manœuvre exécutée après le raccordement au réseau. En laissant simplement un outil d'écoute tourner, nos pentesters récupèrent régulièrement des empreintes d'authentification dans les toutes premières minutes, avant même toute reconnaissance active.
Une position d'interception dans la lignée des attaques de l'homme du milieu. L'usurpation de résolution de noms relève de la même logique que les autres attaques de l'homme du milieu menées en interne, comme l'ARP Spoofing ou le DNS Spoofing : détourner à son profit un mécanisme réseau auquel les machines font confiance par défaut.
Un tremplin vers la compromission de l'Active Directory. Les empreintes capturées alimentent directement la suite de la mission. Relayées vers un service acceptant NTLM ou cassées hors ligne, elles ouvrent la voie à un accès authentifié, puis à une élévation de privilèges vers le contrôleur de domaine, un enchaînement que nos équipes reproduisent lors d'un pentest Active Directory. Les secrets ainsi obtenus peuvent conduire à l'extraction de credentials plus sensibles, une étape que nous documentons dans notre analyse de l'exploitation de DPAPI.
Évaluation de la capacité de détection de l'organisation. Au-delà de la faisabilité technique, l'enjeu principal d'une mission intégrant cette technique est d'évaluer si l'organisation cliente est en mesure de détecter une activité d'empoisonnement de résolution de noms sur son réseau, via ses outils de supervision, son EDR, ou ses équipes internes.
Un usage strictement encadré contractuellement. Cette technique n'est jamais mise en œuvre par Piirates en dehors du périmètre et de la fenêtre temporelle définis contractuellement avec le client. Le déroulé exact des scénarios, les outils utilisés et les preuves de concept précises sont documentés dans le rapport de mission remis au client, mais ne sont jamais publiés ni partagés en dehors de ce cadre contractuel strict.
5. Méthodologie de détection en mission
Détecter une tentative de LLMNR/NBT-NS poisoning suppose de surveiller des signaux spécifiques, à la fois réseau et système.
Détection de réponses de résolution incohérentes. Une même machine qui répond positivement à un grand nombre de requêtes LLMNR ou NBT-NS pour des noms variés constitue un signal fort. Un poste légitime ne se comporte jamais ainsi ; un outil d'empoisonnement, si.
Déploiement de requêtes-appâts. Émettre volontairement des requêtes de résolution vers des noms d'hôtes qui n'existent pas et n'ont aucune raison d'exister est une méthode de détection directe. Toute réponse positive à un tel nom fictif trahit la présence d'un empoisonneur sur le segment, puisqu'aucune ressource légitime ne peut y répondre.
Analyse des journaux d'authentification. Des authentifications NTLM vers des hôtes inhabituels, des tentatives de connexion SMB vers des machines qui ne sont pas des serveurs de fichiers, ou des pics d'échecs d'authentification, sont autant d'indices d'une capture d'empreintes en cours. Leur corrélation s'inscrit dans une démarche plus large de supervision de l'Active Directory.
Surveillance du trafic de diffusion. Un volume anormal de réponses LLMNR et NBT-NS, ou l'apparition soudaine d'un nouvel hôte très actif sur ces protocoles, se repère par l'analyse du trafic de diffusion du segment.
Corrélation des alertes réseau et EDR. Nos pentesters recommandent systématiquement une corrélation entre les anomalies de résolution de noms et les événements remontés par l'EDR sur les postes, car une capture isolée génère rarement une alerte suffisamment explicite à elle seule.
6. Contre-mesures
Désactiver LLMNR et NBT-NS sur l'ensemble du parc, par stratégie de groupe pour LLMNR et via la configuration des interfaces réseau pour NBT-NS. C'est la mesure la plus efficace : sans ces protocoles de secours, l'attaque n'a plus de surface.
Imposer la signature SMB sur les serveurs et les postes, afin de neutraliser le relais d'authentification vers les services SMB, même lorsqu'une empreinte a été capturée.
Appliquer une politique de mots de passe robustes, longs et non prévisibles, pour rendre inexploitable le cassage hors ligne des empreintes NTLMv2 capturées.
Segmenter strictement le réseau interne en VLANs cohérents, afin de limiter le nombre de postes atteignables par un empoisonnement depuis une position donnée.
Désactiver le protocole WPAD et maîtriser IPv6 lorsqu'ils ne sont pas utilisés, afin de fermer les variantes d'empoisonnement qui s'appuient sur la découverte automatique de proxy et sur DHCPv6.
Aucune de ces mesures ne suffit isolément à éliminer le risque. C'est leur combinaison, associée à une supervision réseau active, qui permet de réduire durablement la surface d'exploitation de cette technique. C'est exactement la logique qu'applique l'équipe Piirates lors d'un test d'intrusion sur votre infrastructure interne, en priorisant les correctifs selon leur effet réel sur la chaîne d'attaque.
Combien d'empreintes d'authentification un attaquant capturerait-il sur votre réseau en dix minutes ?
Ce que nous ne faisons pas
(Liste non exhaustive)
Piratage de boite mail
Piratage comptes réseaux sociaux
Espionnage
Exfiltration de sms
Récupération de Cryptomonnaies
Prise en main à distance de véhicules
Suivi GPS de véhicule
Envoyez nous un ping
C'est une technique qui consiste à usurper les réponses des protocoles de résolution de noms LLMNR et NBT-NS sur un réseau local Windows. Quand une résolution DNS échoue, le poste diffuse sa demande via ces protocoles ; l'attaquant répond en se faisant passer pour la ressource recherchée et capture ainsi une empreinte d'authentification NTLMv2 de la victime.
Responder est un outil open source qui écoute le réseau local et répond automatiquement aux requêtes LLMNR, NBT-NS et mDNS pour capturer les authentifications NTLM. C'est l'outil de référence pour ce type d'attaque en test d'intrusion interne, car il ne nécessite ni identifiant ni droits particuliers pour commencer à collecter des empreintes.
Non. Il ne s'agit pas d'une vulnérabilité avec une CVE, mais d'un comportement par défaut de Windows conservé pour la compatibilité. Aucun correctif ne l'élimine : seule la désactivation explicite de LLMNR et NBT-NS, combinée à d'autres mesures de durcissement, supprime la surface d'attaque.
Une empreinte NTLMv2 capturée peut être cassée hors ligne pour retrouver le mot de passe, ce qui ne réussit que si celui-ci est faible. Le relais d'authentification, lui, réachemine directement l'empreinte vers un autre service acceptant NTLM sans jamais casser le mot de passe. Le relais est neutralisé par la signature SMB obligatoire ; le cassage, par des mots de passe robustes.
En désactivant LLMNR et NBT-NS sur tout le parc, en imposant la signature SMB, en appliquant des mots de passe longs et non prévisibles, en segmentant le réseau, et en maîtrisant WPAD et IPv6. Un audit de cybersécurité permet de vérifier que ces protections sont réellement en place et efficaces.
LLMNR/NBT-NS poisoning avec Responder : comment un attaquant capture des authentifications NTLM sur un réseau interne Windows.
