mimikatz DCShadow

mimikatz # lsadump::dcshadow /object:<user> /attribute:<attr> /value:<value>

Regista um controlador de domínio falso para modificar objetos do AD sem deixar logs de auditoria diretos.

Quando você tem credenciais de um usuário com permissões de replicação e quer modificar o AD sem levantar alertas (por exemplo, adicionar um usuário a Domain Admins). DCShadow registra um DC falso que replica as alterações, evitando logs de modificação direta.

Se o EDR monitora a criação de novos controladores de domínio ou alterações no AD. Também se o domínio tiver detecções avançadas de DCShadow (ex.: Microsoft Defender ATP o marca).