mimikatz DCShadow

mimikatz # lsadump::dcshadow /object:<user> /attribute:<attr> /value:<value>

Registra un controlador de dominio falso para modificar objetos del AD sin dejar logs de auditoría directos.

Cuando tienes credenciales de un usuario con permisos de replicación y quieres modificar el AD sin levantar alertas (por ejemplo, añadir un usuario a Domain Admins). DCShadow registra un DC falso que replica los cambios, evitando logs de modificación directa.

Si el EDR monitoriza la creación de nuevos controladores de dominio o cambios en el AD. También si el dominio tiene detecciones avanzadas de DCShadow (ej. Microsoft Defender ATP lo marca).