Атаки на защиту: Evilent или ещё один coerce

[olegtsss]

Какие риски содержит в себе утечка хеша машинной учебной записи ? И эта учетная запись заводится специально для антивируса ?

[HalloweenVcK]

Один из вариантов (который и отображен на скриншотах) - это при наличие в домене ADCS можно с помощью учетной записи получить сертификат контроллера домена, что по сути приводит к полной компрометации домена. Антивирус в данном случае (будучи в ядре) обращается от учетной записи компьютера, на котором запущен.

[olegtsss]

Я так понимаю, что можно обойтись и без ADCS, воспользовавшись Silver Ticket? Это скорее косяк в работе средств антивирусной защиты, нежели окружения windows. Их софт самостоятельно лезет куда не нужно.

[T-Cross]

В дополнение к предыдущему ответу, наибольший риск утечки хэша машинной УЗ - это полная компрометация этой самой машины или повышение привилегий\боковое перемещение в домене AD.
Машинная учетная запись это учетка самой операционный системы Windows от имени которой работают различные службы с максимальными привилегиями, в том числе на доменных машинах из под этой учетки работают некоторые антивирусы