Pass-the-ticket
Un attacco in cui l'aggressore sottrae un ticket Kerberos (un TGT o un service ticket) dalla memoria di una macchina compromessa e lo riutilizza per autenticarsi come la vittima, senza mai conoscerne la password.
Meccanismo: in Windows/Active Directory i ticket Kerberos sono tenuti in memoria. Con privilegi di amministratore un aggressore può estrarli (ad esempio con Mimikatz) e «passarli» ad altri sistemi: il ticket stesso prova l'identità, quindi la password non serve. Diverso dal pass-the-hash, che riusa un hash NTLM: qui a essere rubato è il ticket Kerberos. Affini sono il golden ticket (un TGT contraffatto, firmato con l'hash dell'account krbtgt) e il silver ticket (un service ticket contraffatto). Serve per il movimento laterale e l'escalation dei privilegi in un dominio AD. Difesa: proteggere la memoria di LSASS (Credential Guard), limitare i diritti di amministratore, ticket a vita breve e monitoraggio dell'uso anomalo dei ticket. Una tecnica centrale negli attacchi ad AD. Collegata a kerberoasting e golden ticket.