mimikatz DCSync

mimikatz # lsadump::dcsync /domain:<domain> /user:<domain>\krbtgt

Simula replicação de diretórios para extrair hashes NTLM de contas do AD, incluindo krbtgt.

Quando você tem credenciais de uma conta com privilégios de replicação de AD (por padrão, Administradores de Domínio, Admins. de Empresa). DCSync permite obter hashes de todas as contas sem tocar na SAM local. É ideal para persistência (krbtgt) e escalada.

Se o DC tiver detecções avançadas de DCSync (Microsoft Defender ATP marca como 'Credential Access via DCSync'). Também não use se o EDR bloquear mimikatz. Nesses casos, use secretsdump.py a partir do Linux.