T1556.001: 域控制器身份验证

摘要

攻击者可能修补域控制器上的身份验证过程，以绕过典型的身份验证机制并启用对账户的访问。 恶意软件可能被用于向域控制器上的身份验证过程注入虚假凭据，意图创建一个用于访问任何用户账户和/或凭据的后门（例如 [Skeleton Key](https://attack.mitre.org/software/S0007)）。Skeleton Key 通过在域控制器身份验证过程（LSASS）上打补丁，注入攻击者可用于绕过标准身份验证系统的凭据。一旦打上补丁，攻击者就可以使用注入的密码成功以任何域用户账户进行身份验证（直到通过重启域控制器将 Skeleton Key 从内存中清除）。经过身份验证的访问可能在单因素身份验证环境中启用对主机和/或资源的畅通无阻访问。(Citation: Dell Skeleton)