Shadow Credentials
Añadir tu propia clave al atributo de inicio de sesión sin contraseña de una cuenta, y luego iniciar sesión como esa cuenta. Más discreto que resetear la contraseña de alguien.
El atributo msDS-KeyCredentialLink existe para Windows Hello for Business y contiene las claves públicas autorizadas para autenticarse como ese objeto. Quien tenga permiso de escritura sobre él — algo que suele venir de una ACL mal configurada que concede GenericWrite o GenericAll — puede añadir un certificado generado por sí mismo y luego autenticarse vía PKINIT. Como propina, se obtiene el hash NTLM de la cuenta desde el PAC del ticket. Elad Shamir publicó la técnica en 2021. La ventaja frente a un simple reseteo de contraseña es que la cuenta sigue funcionando con normalidad para su usuario real y el cambio se puede deshacer. Requiere que el dominio tenga una PKI operativa.