Pass-the-ticket
Un ataque en el que se roba un ticket de Kerberos (un TGT o un ticket de servicio) de la memoria de una máquina comprometida y se reutiliza para autenticarse como la víctima, sin llegar a conocer nunca la contraseña.
Mecánica: en Windows/Active Directory los tickets de Kerberos se cachean en memoria. Con permisos de administrador, un atacante puede volcarlos (por ejemplo con Mimikatz) y «pasarlos» a otros sistemas — el propio ticket demuestra la identidad, así que no hace falta contraseña alguna. Se diferencia de pass-the-hash, que reutiliza un hash NTLM: aquí lo robado es el ticket de Kerberos en sí. Relacionado: el golden ticket (un TGT falsificado firmado con el hash de la cuenta krbtgt) y el silver ticket (un ticket de servicio falsificado). Se usa para movimiento lateral y escalado de privilegios dentro de un dominio AD. Defensas: proteger la memoria de LSASS (Credential Guard), limitar los permisos de administrador, acortar la vida de los tickets y monitorizar su uso anómalo. Una técnica central en los ataques contra AD, emparentada con el kerberoasting y el golden ticket.