Исследователи из компании Resecurity обратили внимание на крайне опасную атаку, которая позволяет получить полный контроль над доменной инфраструктурой Active Directory, используя стандартные настройки Windows. Метод основан на сочетании MITM6 — внедрения поддельной IPv6-конфигурации — и NTLM Relay, при котором перехваченные учётные данные пересылаются на нужные сервисы. Такая комбинация превращает сетевое окружение организации в уязвимое поле, даже если администраторы не используют IPv6 в своей среде.
Уязвимость кроется в том, что Windows-системы автоматически обращаются к DHCPv6 при подключении, и злоумышленники могут внедриться в этот процесс, выдавая себя за фальшивый IPv6-сервер. Через подмену DNS-запросов и протокола WPAD они перенаправляют трафик, захватывают попытки аутентификации и запускают ntlmrelayx из набора Impacket, чтобы передать собранные данные в LDAP. Это создаёт фиктивные компьютерные записи с возможностью имитации привилегированных пользователей.
Ситуацию усугубляют три штатные особенности Active Directory. Во-первых, при старте машины приоритет имеет DHCPv6, что моментально открывает вектор атаки. Во-вторых, любая учётная запись домена по умолчанию вправе зарегистрировать до десяти компьютеров благодаря параметру ms-DS-MachineAccountQuota. В-третьих, сами созданные компьютерные объекты могут менять собственный атрибут msDS-AllowedToActOnBehalfOfOtherIdentity, что делает возможным эксплуатацию механизма RBCD. Всё это даёт злоумышленникам возможность выстраивать эскалацию привилегий вплоть до уровня Domain Admin.
После захвата учётных записей в ход идут инструменты secretsdump.py для выгрузки хэшей паролей и CrackMapExec для массовой проверки украденных комбинаций на доступ к другим системам. Завершающая стадия — удалённое управление через WMIExec или PsExec, которое позволяет закрепиться в инфраструктуре, перемещаться между узлами и сохранять постоянный доступ. В дополнение атакующие могут использовать отравление DNS, чтобы парализовать критические сервисы и усилить разрушительный эффект.
Специалисты предупреждают, что последствия подобных атак катастрофичны: от кражи учётных данных и бокового распространения до внедрения вымогательских программ. Восстановление после полной компрометации домена требует значительных усилий и времени, а при этом злоумышленники могут оставаться в сети, даже если исходный вектор будет заблокирован.
Для защиты эксперты советуют отключать IPv6 в средах, где он не используется, а также внедрять LDAP-подпись и Channel Binding, ограничивать возможность создания машинных учётных записей и внимательно отслеживать подозрительные события DHCP. Дополнительную линию обороны обеспечит сегментация сети, которая ограничит перемещения атакующих. Этот случай подчёркивает, насколько опасно полагаться на стандартные установки Windows и не уделять внимание жёсткой настройке доменной безопасности.