Diamond Ticket
Un Golden Ticket pour ceux qui tiennent à ne pas être vus : au lieu de forger un ticket de toutes pièces, on en demande un authentique et on n'en modifie que le contenu.
Le défaut du golden ticket, c'est qu'il n'a jamais approché un contrôleur de domaine et ressemble donc rarement tout à fait à un vrai. Les durées de vie sont incongrues, des champs de la structure d'autorisation manquent ou sont remplis au jugé, et le compte indiqué n'existe parfois même pas — autant d'indices qu'on peut coucher dans des règles de détection, ce que les défenseurs ont fait. La variante diamant demande à la place un ticket parfaitement légitime pour un compte que l'on contrôle, le déchiffre avec la clé krbtgt volée, ajoute des appartenances à des groupes privilégiés dans la partie autorisation, puis le rechiffre. Le résultat est un ticket réellement émis par le contrôleur de domaine, avec des métadonnées correctes et un véritable événement d'ouverture de session dans le journal. Seul le contenu est faux.