Luca Galuppi : 12 Dicembre 2024 11:48
Gli attacchi di NTLM Relay non sono certo una novità nel panorama delle minacce informatiche. Questo metodo di compromissione dell’identità rappresenta da tempo uno dei principali vettori di attacco, sfruttando endpoint vulnerabili per eseguire azioni a nome della vittima. Con il recente lancio di Windows Server 2025, Microsoft ha deciso di affrontare la questione in modo deciso, introducendo mitigazioni automatiche per contrastare questi attacchi in Exchange Server, Active Directory Certificate Services (AD CS) e Lightweight Directory Access Protocol (LDAP).
Questo aggiornamento, annunciato ufficialmente tramite un post sul blog Microsoft, rappresenta un passo fondamentale per rafforzare le difese contro uno dei metodi di compromissione più persistenti dell’ecosistema IT moderno.
L’NTLM Relay Attack è un metodo utilizzato dai Threat Actors per compromettere credenziali e accedere a risorse aziendali. Gli attacchi NTLM Relay in genere prevedono due fasi:
Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber
«Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi».
Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca.
Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare.
Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura.
Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Il risultato? L’attaccante ottiene l’accesso e agisce come la vittima, potenzialmente compromettendo interi domini. Gli attacchi relay possono avere conseguenze devastanti per la sicurezza aziendale se non vengono adottate contromisure robuste, come la protezione estesa per l’autenticazione (EPA).
Un esempio concreto: immaginate un attaccante che riesce a sfruttare un server LDAP mal configurato, usando le credenziali di un amministratore per accedere a risorse critiche. Con poche mosse, l’intero dominio potrebbe essere compromesso, mettendo a rischio dati sensibili e la continuità operativa dell’azienda.
Il colosso di Redmond, consapevole della natura persistente di questi attacchi, ha introdotto una serie di misure per contrastare il fenomeno con il lancio di Windows Server 2025. Le nuove funzionalità includono l’abilitazione automatica di protezioni avanzate come Extended Protection for Authentication (EPA) e Channel Binding, che mirano a rafforzare la sicurezza contro gli attacchi NTLM Relay. L’EPA rappresenta un metodo avanzato per proteggere l’autenticazione, limitando la possibilità di attacchi Relay attraverso misure più robuste. Il Channel Binding, invece, associa l’autenticazione a un canale specifico, riducendo il rischio di trasmissione non sicura delle credenziali.
Con Windows Server 2025, Microsoft ha adottato un approccio definito “Secure by Default”, che consente l’abilitazione automatica di queste protezioni senza che sia necessario alcun intervento manuale da parte degli amministratori. Questa scelta elimina uno dei principali fattori di rischio: la configurazione manuale, che in passato aveva lasciato numerose infrastrutture esposte ad attacchi. Le impostazioni di sicurezza, ora predefinite, aumentano significativamente la protezione senza richiedere configurazioni complesse o interventi aggiuntivi.
Oltre alle misure specifiche contro NTLM Relay, Microsoft sta anche accelerando la progressiva eliminazione di NTLM a favore di Kerberos, un protocollo più moderno e sicuro. Nel frattempo, l’azienda ha avviato la rimozione del supporto per NTLMv1 e sta pianificando di depredare gradualmente NTLMv2. L’obiettivo è spostarsi verso standard più moderni per una protezione più efficace e duratura delle infrastrutture aziendali.
Cosa significa per le Aziende?
L’introduzione automatica di protezioni rappresenta un cambiamento significativo, ma comporta anche nuove sfide per gli amministratori IT.
Principali azioni da intraprendere:
- Audit delle infrastrutture:
Prima di aggiornare, è fondamentale verificare la configurazione dei server e dei sistemi IT per individuare endpoint vulnerabili o impostazioni errate.- Test di compatibilità:
Non tutte le applicazioni potrebbero essere compatibili con le nuove misure di protezione (EPA e Kerberos). È importante eseguire test per verificare la compatibilità prima della loro implementazione.- Aggiornamento della documentazione interna:
Con l’introduzione di questi aggiornamenti automatici, è necessario aggiornare le procedure e la documentazione aziendale per riflettere le nuove impostazioni.- Prepararsi per la disattivazione graduale di NTLM:
La disattivazione di NTLM potrebbe causare problemi in ambienti legacy. È essenziale pianificare l’adozione graduale dei nuovi protocolli di autenticazione.
Le nuove misure di protezione introdotte da Microsoft con Windows Server 2025 rappresentano una rivoluzione nell’approccio alla protezione degli ambienti IT. Eliminando la complessità delle configurazioni manuali e adottando l’approccio “Secure by Default”, Microsoft punta a rafforzare la protezione contro gli attacchi NTLM Relay.
Gli amministratori IT non devono sottovalutare l’opportunità di sfruttare queste funzionalità, aggiornando le loro infrastrutture e avviando un’analisi dettagliata per garantire la compatibilità. Affrontando questa sfida, sarà possibile ridurre in modo significativo il rischio di esposizione ad una delle minacce più persistenti del panorama IT moderno.
Luca GaluppiManuel Roccon, leader del team etico HackerHood di Red Hot Cyber, ha realizzato una dettagliata dimostrazione video su YouTube che espone in modo pratico come funziona CVE-2025-8088 di WinRAR. Il vide...
I macro movimenti politici post-covid, comprendendo i conflitti in essere, hanno smosso una parte predominante di stati verso cambi di obbiettivi politici sul medio/lungo termine. Chiaramente è stato...
Come abbiamo riportato questa mattina, diversi cavi sottomarini nel Mar Rosso sono stati recisi, provocando ritardi nell’accesso a Internet e interruzioni dei servizi in Asia e Medio Oriente. Micros...
La Commissione Europea ha inflitto a Google una multa di 2,95 miliardi di euro, per abuso di posizione dominante nel mercato della pubblicità digitale. L’autorità di regolamentazione ha affermato ...
La cultura hacker è nata grazie all’informatico Richard Greenblatt e al matematico Bill Gosper del Massachusetts Institute of Technology (MIT). Tutto è iniziato nel famoso Tech Model Railroad Club...
