Impacket
Windowsのネットワークプロトコルをきれいに実装したPythonライブラリ。LinuxからActive Directoryを攻める際の、事実上の標準ツールボックス。
このライブラリはWindows APIを呼ばず、パケットを自前で組み立てる。そのためドメインとは無関係なマシンからでも、SMB、MSRPC、LDAP、Kerberos、DCERPCを自在に話せる。同梱のサンプルスクリプトが事実上の標準になった。secretsdump.pyはパスワードハッシュを抽出し、psexec.pyとwmiexec.pyはリモート実行を与え、ntlmrelayx.pyはリレー攻撃を担い、GetUserSPNs.pyとGetNPUsers.pyはそれぞれKerberoastingとAS-REP roastingの道具だ。
すべてが読みやすいPythonなので、挙動の改変は容易だ。ファイル単位のシグネチャ検知はほぼ無意味で、監視すべきはトラフィックのパターンのほうになる。