DCSync (Katalogreplikering / Mimikatz)

🔍 Kategori: technique 🏷️ Alias: DCSync, MS-DRSR, DSGetNCChanges, T1003.006 ⚖️ Forensisk standard

Angripare simulerar en domänkontrollant via Directory Replication Service Remote Protocol (MS-DRSR) för att stjäla alla lösenordshashar.

🔬 Forensisk Betydelse & Utredningsmetodik

Ger avgörande bevisning för tidslinjerekonstruktion, incidentutredning och teknisk verifiering av DCSync (Katalogreplikering / Mimikatz) i digitala förundersökningar.

⚙️ Tekniska Parametrar & Verktygsstöd

Filsystemsplacering (på undersökt media): Active Directory DRSUAPI
Forensiska verktyg:
Mimikatz ↗ Chainsaw ↗ Wireshark ↗

🔍 Förekomst i Forensix Intelligence & Fallstudier

📰 Forensix Dagsbriefing: 2026-09-11 — Samlad Lägesbild & Teknisk Analys 2026-09-11 📰 Attackers steal Active Directory password hashes via replication without direct domain controller intrusion 2026-09-11

📚 Källor & Fördjupning

🏛️ MITRE ATT&CK

MITRE ATT&CK Enterprise Matrix & Adversary Techniques

Läs specifikation →

🏛️ CISA / NSA

CISA / NSA: Living off the Land & Identity Attack Hunting Guide

Läs specifikation →

🏛️ SANS DFIR

SANS DFIR: Active Directory & Threat Hunting Blue Team Guide

Läs specifikation →

Alla begrepp Sök incidenter i Intelligence →