Active Directory: Contornando a Assinatura LDAP e Comprometendo o Domínio via NTLM Relay

Pesquisadores da SpecterOps descobriram uma forma de contornar o LDAP Signing — um mecanismo que protege a integridade das mensagens LDAP e era anteriormente considerado uma das principais defesas contra ataques NTLM Relay. Uma falha no tratamento de reautenticação permitia realizar operações LDAP com os privilégios de outro usuário mesmo quando a assinatura de mensagens era obrigatória. O ataque afetava controladores de domínio Windows Server a partir da versão 2016, e a Microsoft lançou uma correção em outubro de 2026.

Para explorar a vulnerabilidade, um atacante primeiro estabelece uma conexão LDAP assinada com o controlador de domínio usando uma chave de sessão conhecida pelo atacante. O atacante então força o host alvo a autenticar via NTLM por SMB e retransmite a autenticação pela conexão LDAP já estabelecida. O recurso principal é que a mensagem de reautenticação e a solicitação LDAP maliciosa são colocadas em um único registro SASL assinado. O controlador de domínio verifica a assinatura usando a chave original, depois troca o contexto de segurança para a conta da vítima e executa a solicitação LDAP com os privilégios dessa conta.

Explorar a vulnerabilidade permite a um atacante modificar objetos do Active Directory em nome da conta comprometida sem saber sua senha. Por exemplo, os pesquisadores demonstraram a modificação do atributo msDS-AllowedToActOnBehalfOfOtherIdentity para realizar um ataque RBCD. Quando a autenticação de um controlador de domínio é retransmitida, isso pode levar ao controle do controlador, à execução de DCSync e ao comprometimento total do domínio. O ataque requer acesso ao LDAP pela porta 389/TCP; esse bypass não se aplica ao LDAPS.

Artigo: https://specterops.io/blog/2026/10/23/ldap-signing-bypass-ntlm-relay/