mitm6 y NTLM Relay

El vector: Windows prefiere IPv6 (pero nadie lo configura)

Windows tiene soporte IPv6 activo por defecto y, según la especificación del sistema, prefiere IPv6 a IPv4 cuando ambos están disponibles. El problema en redes corporativas es que casi nunca existe un servidor DHCPv6 legítimo: las redes se configuran solo con IPv4.

mitm6 explota exactamente esa brecha. Responde a las peticiones DHCPv6 que emiten periódicamente los clientes Windows (SOLICIT, REQUEST) asignándoles como servidor DNS IPv6 la dirección de la máquina atacante. A partir de ese momento, el atacante controla la resolución de nombres IPv6 de las víctimas.

  [Víctima Windows]                 [Red]              [Atacante / mitm6]
        |                             |                        |
        |=== DHCPv6 SOLICIT =========>=======================>|
        |   "¿Hay algún servidor      |                        |
        |    DHCPv6 en la red?"       |                        |
        |                             |         mitm6 responde |
        |<════════════════════════════════════════════════════ |
        |   "Aquí. Tu DNS IPv6        |                        |
        |    es [fd00::atacante]"     |                        |
        |                             |                        |
        |─── DNS Query (IPv6) ────────────────────────────── >|
        |   "¿Dónde está WPAD?"      |                        |
        |<── DNS Response ────────────────────────────────── -|
        |   "[fd00::atacante]"        |                        |
        |                             |                        |
        |─── Auth HTTP/SMB ──────────────────────────────── ->|
        |   (NetNTLM hash)            |                  capturado / relay

La lectura en profundidad del protocolo IPv6 y por qué los ataques de DHCPv6 son tan efectivos está en la lección IPv6 para pentest.

Relay vs. crackeo: cuándo usar cada uno

Cuando capturas un hash NetNTLMv2 (por ejemplo con Responder, ver Envenenamiento LLMNR/NBT-NS) tienes dos opciones:

El relay tiene una ventaja clave: no necesitas conocer la contraseña. Mientras el hash sea válido (está en tránsito), puedes usarlo directamente para autenticarte contra otro servicio.

Requisitos y limitaciones

Relay a SMB

• El objetivo debe tener SMB signing desactivado. Si está activo, el relay a SMB falla porque el servidor exige que los mensajes estén firmados con la clave de sesión, que el atacante no posee.
• Puedes comprobar qué hosts tienen SMB signing desactivado con:

netexec smb <rango> --gen-relay-list relay_targets.txt

Relay a LDAP/LDAPS

• LDAP no requiere signing por defecto (a diferencia de SMB). Esto lo hace un objetivo habitual.
• Con relay a LDAPS puedes realizar ataques de delegación o crear cuentas de equipo en el dominio (por defecto cualquier usuario puede añadir hasta 10 equipos → ms-DS-MachineAccountQuota), lo que abre la puerta a ataques posteriores como Resource-Based Constrained Delegation (RBCD).

Comandos: ataque combinado mitm6 + ntlmrelayx

El ataque requiere dos terminales simultáneas.

Terminal 1 — mitm6: envenenamiento DHCPv6 y DNS

mitm6 -d dominio.local

• -d dominio.local: limita el ataque al dominio especificado (importante para no contaminar toda la red).
• mitm6 responderá a peticiones DHCPv6 y resolverá nombres como WPAD apuntando al atacante.

Terminal 2 — ntlmrelayx: recibe y retransmite los hashes

ntlmrelayx.py -6 -t ldaps://<DC> -wh fakewpad.dominio.local --delegate-access

Cuando una víctima se autentica contra el WPAD falso, ntlmrelayx retransmite automáticamente esas credenciales al DC via LDAPS, creando una cuenta de equipo controlada por el atacante.

Variante: relay a SMB para ejecución de comandos

ntlmrelayx.py -6 -tf relay_targets.txt -smb2support -c "whoami"

• -tf relay_targets.txt: lista de IPs con SMB signing desactivado.
• -smb2support: habilita SMBv2.
• -c "whoami": ejecuta un comando en el sistema remoto si el relay tiene privilegios de administrador.

Por qué este ataque lleva frecuentemente a Domain Admin

La cadena completa es:

mitm6 envenena DNS IPv6
        ↓
Víctima se autentica contra WPAD falso
        ↓
ntlmrelayx relay a LDAPS del DC
        ↓
Crea cuenta de equipo controlada por atacante
        ↓
Configura RBCD → impersonación de usuarios privilegiados
        ↓
Obtiene ticket de servicio como Domain Admin (S4U2Proxy)
        ↓
→ Domain Admin

El ataque funciona con cualquier usuario autenticado del dominio como víctima (no necesita privilegios). Basta con que algún equipo del dominio haga tráfico de red mientras mitm6 está activo, algo que ocurre de forma constante en redes activas.

Práctica

Ejercicio 1. ¿Qué característica del comportamiento de red de Windows hace posible el ataque de mitm6?

Ejercicio 2. ¿En qué se diferencia hacer relay de un hash NetNTLM frente a crackearlo? ¿Qué ventaja tiene el relay?

Recursos

• mitm6 — dirkjanm/mitm6 (GitHub)
• impacket — fortra/impacket (GitHub)
• HackTricks — mitm6 & NTLM Relay
• Lección Envenenamiento LLMNR/NBT-NS
• Lección IPv6 para pentest