Golden Ticket
Falsificare qualsiasi TGT Kerberos in un dominio Windows — compromissione totale del dominio se l'attaccante possiede l'hash di krbtgt.
In Active Directory l'account di servizio krbtgt firma ogni ticket Kerberos. Se un attaccante ottiene l'hash NT di krbtgt (di solito tramite DCSync dopo aver preso un domain controller) può falsificare offline TGT validi per qualunque utente — amministratori inclusi. Lo strumento Mimikatz ha il comando integrato kerberos::golden. Contromisure: ruotare due volte la password di krbtgt (script Microsoft), isolamento Tier 0, MFA sugli account amministrativi.