Pass-the-Ticket
Ein Angriff, bei dem ein Angreifer ein Kerberos-Ticket (TGT oder Service-Ticket) aus dem Speicher einer kompromittierten Maschine stiehlt und es wiederverwendet, um sich als das Opfer zu authentifizieren — ohne je das Passwort zu kennen.
Mechanik: In Windows/Active Directory werden Kerberos-Tickets im Speicher zwischengespeichert. Mit Admin-Rechten kann ein Angreifer sie auslesen (z. B. mit Mimikatz) und das Ticket an andere Systeme „weiterreichen" — das Ticket selbst beweist die Identität, ein Passwort wird also nicht benötigt. Zu unterscheiden von Pass-the-Hash (das einen NTLM-Hash wiederverwendet) — hier wird das Kerberos-Ticket selbst gestohlen. Verwandt: Golden Ticket (ein gefälschtes TGT, signiert mit dem Hash des krbtgt-Kontos) und Silver Ticket (ein gefälschtes Service-Ticket). Wird für laterale Bewegung und Rechteausweitung in einer AD-Domäne genutzt. Verteidigung: LSASS-Speicher schützen (Credential Guard), Admin-Rechte einschränken, kurze Ticket-Laufzeiten und ungewöhnliche Ticket-Nutzung überwachen. Eine Kerntechnik bei AD-Angriffen, verwandt mit Kerberoasting und Golden Ticket.