Вообще так устроен протокол NTLM, что пароль в явном виде не передаётся и нужны несколько сообщений при обмене сервера и клиента.
В рамках протокола NTLM существует несколько видов механизмов «рукопожатий» (LM, NTLM, NTLM session security и NTLMv2), общая схема примерно такая (рис из MS-NLMP):

Т.е. есть:
а) фаза, когда клиент сообщает при помощи NTLM_NEGOTIATE, что он умеет в NTLM,
б) фаза, когда сервер отправляет NTLM_CHALLENGE (содержащий некоторый nonce - 16-битный фрагмент "случайных" данных)
в) фаза, когда клиент шифрует данные для входа с учётом nonce и отправляет их на сервер
(далее забота сервера связаться с контроллерами домена и проверить информацию)
Так вот если посмотреть скриншоты внимательнее, то всё так и было (сравни с описанием в 4 Protocol Examples например 4.1 Server Examples):
на первом шаге сервер предложил использовать NTLM или более современный Kerberos (строчка WWW-Authenticate: Negotiate):

на втором шаге клиент отправил NTLM_Negotiate и тут же в response получил challenge:

И на третьем шаге клиент отправил NTLM_Authenticate и в ответ получил 200 ОК:

При разборе подобных сообщений желательно посматривать в майкрософтовские спеки.
В первую очередь это то, как реализован NTLM поверх HTTP: [MS-NTHT]: NTLM Over HTTP Protocol aka MS-NTHT.
Во-вторых, в этом документе идут постоянные отсылки на MS-NNTP и MS-NLMP, в которых описываются конкретные форматы сообщений и хардкоженные константы (типа message_type = 0x00000001 - это NEGOTIATE_MESSAGE)
В-третьих, общая страница майкрософт по NTLM