Um novo estudo de segurança cibernética descobriu que os protocolos de comunicação legados do Windows continuam a expor as organizações ao roubo de credenciais, mesmo sem explorar vulnerabilidades de software.
A pesquisa, publicada hoje pela Resecurity, alertou que os invasores podem capturar dados de login simplesmente por estarem na mesma rede local que seus alvos.
Recursos legados ainda em uso
A Resolução de Nomes Multicast Local de Link (LLMNR) e seu antecessor, o NetBIOS Name Service (NBT-NS), foram projetados para ajudar os sistemas Windows a encontrar outros dispositivos quando as pesquisas de DNS falham. No entanto, esses protocolos confiam em qualquer dispositivo que responda às suas solicitações – um descuido que permite que os invasores se passem por sistemas legítimos.
Usando ferramentas como o Responder, um hacker pode interceptar essas transmissões e induzir a máquina da vítima a enviar dados de autenticação. O invasor então captura informações, incluindo nomes de usuário, detalhes de domínio e hashes de senha criptografados.
“Este ataque não depende da exploração de uma vulnerabilidade de software”, disse o estudo.
“Ele aproveita o comportamento padrão do Windows e exige apenas que o invasor esteja presente no mesmo segmento de rede local que a vítima.”
Preocupação crescente com as organizações
Uma vez roubados, os dados capturados podem ser quebrados offline ou reutilizados no que é conhecido como um ataque de relé. Isso pode fornecer acesso direto a bancos de dados corporativos, servidores de arquivos ou sistemas administrativos. Em alguns casos, os invasores podem obter senhas em texto não criptografado, obtendo acesso imediato a dados confidenciais.
Os pesquisadores alertaram que as consequências vão muito além de um único dispositivo comprometido. Depois que os invasores obtêm credenciais válidas, eles podem se mover lateralmente pela rede, acessando sistemas e recursos adicionais.
A partir daí, eles podem escalar privilégios visando contas de alto valor, como administradores ou usuários de serviços, obtendo um controle mais amplo sobre o ambiente.
Esse tipo de acesso pode levar à exposição generalizada de dados, alterações não autorizadas nos sistemas e até mesmo à interrupção de serviços críticos de negócios ou tempo de inatividade operacional. Em grandes organizações, o impacto pode se espalhar entre os departamentos, tornando a contenção e a recuperação mais complexas.
Correções recomendadas
O estudo delineou várias maneiras de mitigar o risco. As organizações são incentivadas a:
-
Desabilitar LLMNR e NBT-NS por meio da Política de Grupo
-
Bloqueie a porta UDP 5355 para evitar consultas multicast
-
Imponha a assinatura SMB e reduza a autenticação NTLM
-
Mantenha configurações de DNS precisas para evitar pesquisas de fallback
As equipes de segurança também são incentivadas a monitorar o tráfego incomum nesses protocolos, o que pode indicar tentativas de exploração ativas.
De acordo com o relatório, o envenenamento por LLMNR e NBT-NS continua sendo um dos ataques de rede mais comuns (e evitáveis).
“A defesa mais eficaz é eliminar a dependência desses protocolos legados, desativando o LLMNR e o NBT-NS, aplicando métodos de autenticação seguros, como Kerberos, e garantindo que a infraestrutura DNS esteja configurada corretamente”, disse Resecurity.
“Combinadas com práticas de monitoramento de rede e proteção de credenciais, essas medidas reduzem significativamente o risco de roubo de credenciais por meio de ataques de envenenamento de transmissão.”