DCSync
Udawanie kontrolera domeny i proszenie prawdziwych o replikację bazy haseł. Na serwerze nie uruchamia się żaden kod; to całkowicie legalna funkcja użyta w złym celu.
Kontrolery domeny synchronizują się protokołem MS-DRSR, którego wywołanie DRSGetNCChanges pobiera zmiany kontekstu nazw — wraz ze skrótami haseł. Wymagane prawa, DS-Replication-Get-Changes i jego wariant All, zwykle należą tylko do Domain Admins, Enterprise Admins i samych kontrolerów domeny, ale bywają beztrosko nadawane kontom usług albo zostają po migracji. Mając je, atakujący może pobrać skrót dowolnego konta, w tym krbtgt, i sfałszować Golden Ticket. Mimikatz robi to poleceniem lsadump::dcsync. Wykrycie jest realne, ale wymaga faktycznego patrzenia: ruch replikacyjny z maszyny, która nie jest kontrolerem domeny, nigdy nie jest normalny.