Porque la compatibilidad de Windows 9x permite que en la SAM local (y del directorio activo) se almacenen dos tipos de hash: Hash LM (compatibles con windows 9x) y Hash NTLM.  Las debilidades de LM permite que sea ‘crackeado’ en poco tiempo. (Ver cracking lm vs ntlm).

Puede que en su empresa no tengan ningún equipo 9x, pero Windows 2000, xp y 2003, TIENEN HABILITADOS POR DEFECTO la compatibilidad con windows 9x, y por lo tanto almacenan en la SAM tanto LM como NTLM.

¿Cómo evitar almacenar hashes LM?

Seguir las recomendaciones de microsot en su artículo: http://support.microsoft.com/kb/299656 el cual practicamente dice:

1. En Directiva de grupo, expanda Configuración del equipo, Configuración de Windows, Configuración de seguridad, Directivas locales y, a continuación, haga clic en Opciones de seguridad.
2. En la lista de directivas disponibles, haga doble clic en Seguridad de red: no almacenar valor de hash de LAN Manager en el próximo cambio de contraseña.
3. Haga clic en Habilitado y después en Aceptar.

I made a Benchmark for LM Cracking using my laptop:

Dell XPS M1530
Intel Core 2 Duo T7500 2.2Ghz
4 GB RAM
Windows Vista Ultimate
Hard Disk 120 GB 7200 RPM
Nvidia Gforce 8600M GT 256 MB

I Used:

• John The Ripper (386 and mmx)
• Cain
• Elcomsoft Distributed Password Recovery

BENCHMAR

The objetive was test how many password/seg could be cracked using diferent software.
There are crackers based in cpu and recently in gpu.
For CPU test, I used John the ripper (386 and mmx) and CAIN.
For GPU test, I used Elcomsoft Distributed Password Recovery. Although this software allow more than 1 cliente, I only used my own laptop.

Here we go.

JOHN THE RIPPER 386. Speed: 4 M/s

John the ripper 386 test in core 2 duo 2.2GHZ

JOHN THE RIPPER MMX. Speed: 9.2 M/s

John the ripper mmx test in core 2 duo 2.2 Ghz

CAIN. Speed: ~8 M/s

Cain cracking LM hash in core 2 duo 2.2 Ghz

ELCOMSOFT DISTRIBUTED PASSWORD RECOVERY (GPU). Speed: 22.5 M/s

Elcomsoft Distributed Password Recover with 1 GPU cracking at 22.5 M/s

FULL RESULTS

EDPR (gpu):            22572914 c/s
John mmx (cpu):       9230000 c/s
Cain (cpu):                7969348 c/s
John 386 (cpu):         4043000 c/s

Lm Cracking Benchmark