Pass-the-ticket
Ataque em que o invasor rouba um ticket Kerberos (um TGT ou ticket de serviço) da memória de uma máquina comprometida e o reutiliza para se autenticar como a vítima — sem nunca saber a senha.
Mecânica: no Windows/Active Directory, os tickets Kerberos ficam em cache na memória. Com direitos de administrador, o invasor pode extraí-los (por exemplo, com o Mimikatz) e "passá-los" a outros sistemas — o próprio ticket prova a identidade, então a senha é dispensável. Diferente do pass-the-hash (que reutiliza um hash NTLM): aqui o que se rouba é o ticket Kerberos em si. Relacionados: golden ticket (um TGT forjado, assinado com o hash da conta krbtgt) e silver ticket (um ticket de serviço forjado). Usado para movimento lateral e escalonamento de privilégios num domínio AD.
Defesa: proteger a memória do LSASS (Credential Guard), limitar direitos de administrador, usar tickets de vida curta e monitorar o uso anormal de tickets. Uma técnica central nos ataques a AD. Relacionado a kerberoasting e golden ticket.