Envenenamento de LLMNR
O Windows pergunta a toda a rede local "alguém conhece este nome?" quando o DNS falha, e qualquer um pode responder que sim. O primeiro passo de quase todo teste de intrusão interno.
Quando uma consulta falha, o cliente recorre ao LLMNR por UDP 5355 e ao NBT-NS por UDP 137, e nenhum dos dois tem autenticação. Um atacante no mesmo segmento roda o Responder, responde a tudo, e quem digitou errado o caminho de um compartilhamento se autentica alegremente na máquina do atacante. A troca deixa uma resposta NetNTLMv2 que pode ser quebrada offline com o hashcat no modo 5600 ou — de forma bem mais eficaz — repassada a um serviço real. A correção é fácil e gratuita: desativar os dois protocolos por diretiva de grupo e garantir que o DNS realmente responda. Raramente é feita, e por isso a técnica ainda funciona.