Empoisonnement LLMNR
Windows demande à tout le réseau local « quelqu'un connaît-il ce nom ? » quand le DNS échoue, et n'importe qui a le droit de répondre oui. Le premier réflexe dans presque tous les tests d'intrusion internes.
Quand une résolution échoue, le client se rabat sur LLMNR (UDP 5355) puis NBT-NS (UDP 137), deux protocoles sans la moindre authentification. Un attaquant présent sur le même segment lance Responder, répond à tout, et quiconque a tapé de travers un chemin de partage s'authentifie avec plaisir auprès de la machine de l'attaquant. L'échange laisse une réponse NetNTLMv2 qu'on peut casser hors ligne avec hashcat en mode 5600, ou — bien plus efficace — relayer vers un vrai service. Le correctif est simple et gratuit : désactiver les deux protocoles par stratégie de groupe et s'assurer que le DNS répond réellement. Ce n'est presque jamais fait, ce qui explique pourquoi la technique fonctionne encore.