> ## Documentation Index
> Fetch the complete documentation index at: https://rootea.es/llms.txt
> Use this file to discover all available pages before exploring further.

# LLMNR / NBT-NS Poisoning (Responder)

> Cuando Windows no resuelve un nombre por DNS, hace broadcast LLMNR / NBT-NS preguntando "¿alguien sabe dónde está SHARE\fileserver?".

<p className="glossary-answer">Cuando Windows no resuelve un nombre por DNS, hace broadcast LLMNR / NBT-NS preguntando "¿alguien sabe dónde está SHARE\fileserver?".</p>

**Categoría:** [Reconocimiento](/glosario)

🎯 **Trinchera** — Cuando Windows no resuelve un nombre por DNS,
hace broadcast LLMNR / NBT-NS preguntando "¿alguien sabe dónde
está SHARE\fileserver?". `Responder` responde "soy yo", la víctima
le envía hash NTLMv2 intentando autenticar. Crackeas offline o
relayeas online.

🔗 **Kill chain** — `responder -I eth0` durante working hours →
hashes NTLMv2 → `hashcat -m 5600`. Si tienes `--lm` y la víctima
manda LMv1, tienes la pwd en minutos.

📡 **Huella defensiva** — Responder genera tráfico anómalo: muchos
hosts intentando resolver el atacante, hashes capturados en el
log. Defender for Identity tiene detección dedicada.

⚠️ **Falso amigo** — Hashes NTLMv2 con `Negotiate Sign` no son
relayables a SMB Signing-required servers. Buena pwd policy + AES
mata Responder.

🛡️ **Remediación** — Deshabilitar LLMNR (GPO `Turn off Multicast
Name Resolution=Enabled`) y NBT-NS (`NetBIOS over TCP/IP=Disabled`).
Forzar SMB Signing.

```bash theme={null}
responder -I eth0 -wrf
hashcat -m 5600 hashes.txt rockyou.txt
```

***

← [Volver al glosario completo](/glosario)

<script type="application/ld+json">
  {`{"@context":"https://schema.org","@type":"DefinedTerm","name":"LLMNR / NBT-NS Poisoning (Responder)","description":"Cuando Windows no resuelve un nombre por DNS, hace broadcast LLMNR / NBT-NS preguntando \"¿alguien sabe dónde está SHARE\\fileserver?\".","inDefinedTermSet":{"@type":"DefinedTermSet","name":"Glosario táctico de pentesting","url":"https://rootea.es/glosario"},"url":"https://rootea.es/glosario/llmnr-nbt-ns-poisoning-responder"}`}
</script>

<script type="application/ld+json">
  {`{"@context":"https://schema.org","@type":"BreadcrumbList","itemListElement":[{"@type":"ListItem","position":1,"name":"Inicio","item":"https://rootea.es"},{"@type":"ListItem","position":2,"name":"Glosario táctico","item":"https://rootea.es/glosario"},{"@type":"ListItem","position":3,"name":"LLMNR / NBT-NS Poisoning (Responder)","item":"https://rootea.es/glosario/llmnr-nbt-ns-poisoning-responder"}]}`}
</script>

*Última actualización: 2026-06-11*