DCSync
Fingir ser um controlador de domínio e pedir aos verdadeiros que repliquem o banco de senhas. Nenhum código roda no servidor; é um recurso perfeitamente legítimo usado do jeito errado.
Os controladores de domínio se mantêm sincronizados pelo protocolo MS-DRSR, cuja chamada DRSGetNCChanges busca as alterações de um naming context — inclusive os hashes de senha. Os direitos necessários, DS-Replication-Get-Changes e sua versão All, normalmente pertencem só a Domain Admins, Enterprise Admins e aos próprios controladores de domínio, mas acabam concedidos a contas de serviço sem muito cuidado ou ficam esquecidos depois de uma migração. Com eles, um atacante consegue puxar o hash de qualquer conta, krbtgt incluída, e forjar um Golden Ticket. O Mimikatz faz isso com lsadump::dcsync. A detecção é razoável, mas exige que alguém realmente olhe: tráfego de replicação vindo de algo que não é um controlador de domínio nunca é normal.