Golden Ticket
Een willekeurige Kerberos-TGT in een Windows-domein vervalsen — volledige overname van het domein zodra de aanvaller de hash van krbtgt heeft.
In Active Directory ondertekent het serviceaccount krbtgt elk Kerberos-ticket. Krijgt een aanvaller de NT-hash van krbtgt in handen (meestal via DCSync na de overname van een domeincontroller), dan kan die offline geldige TGT's vervalsen voor elke gebruiker — beheerders inbegrepen. Mimikatz heeft er een ingebouwd commando voor: kerberos::golden. Maatregelen: het wachtwoord van krbtgt tweemaal roteren (script van Microsoft), Tier 0-isolatie en MFA op beheerdersaccounts.