Shadow Credentials
Den eigenen Schlüssel in das Attribut eines Kontos für passwortlose Anmeldung eintragen und sich anschließend als dieses Konto anmelden. Unauffälliger als das Zurücksetzen eines fremden Passworts.
Das Attribut msDS-KeyCredentialLink existiert für Windows Hello for Business und enthält die öffentlichen Schlüssel, mit denen man sich als das Objekt authentifizieren darf. Wer Schreibzugriff darauf hat — oft die Folge einer falsch konfigurierten ACL mit GenericWrite oder GenericAll — kann also ein selbst erzeugtes Zertifikat hinzufügen und sich anschließend per PKINIT authentifizieren. Als Bonus liefert das PAC des Tickets gleich noch den NTLM-Hash des Kontos mit. Elad Shamir veröffentlichte die Technik 2021. Der Vorteil gegenüber einem reinen Passwort-Reset: Das Konto funktioniert für die echte Nutzerin weiter wie gewohnt, und die Änderung lässt sich rückgängig machen. Voraussetzung ist eine funktionierende PKI in der Domäne.