Diamond Ticket
Un Golden Ticket per chi ci tiene a non farsi vedere: invece di falsificare un ticket da zero, se ne richiede uno autentico e se ne altera soltanto il contenuto.
Il problema del golden ticket è che non è mai passato da un domain controller e raramente appare identico a uno vero. Le durate risultano anomale, nella struttura di autorizzazione mancano campi o vengono riempiti a caso, e l'account indicato può non esistere: tutti elementi che si possono tradurre in regole di rilevamento, cosa che i difensori hanno fatto. La variante diamond richiede invece un ticket del tutto legittimo per un account sotto il proprio controllo, lo decifra con la chiave krbtgt rubata, aggiunge appartenenze a gruppi privilegiati alla parte di autorizzazione e lo cifra di nuovo. Il risultato è un ticket realmente emesso dal domain controller, con metadati corretti e un evento di logon autentico nel log. Solo il contenuto è falso.