为什么大多数组织仍然无法防御 DCShadow

Semperis 新研究：检测 DCShadow（Mimikatz 模拟域控制器向 AD 注入隐蔽更改的技术）不止于“如何发生”，更回答“来自何处”——帮助定位被用作恶意主机的客户端机器及隐蔽持久化。

防御 DCShadow（下篇）：测试仅限隔离实验环境；通过 PAM 严控并监控特权访问；重点监控 AD Sites and Services——DCShadow 注入的变更不进安全日志，但其在配置分区（CN=Sites,CN=Configuration）注册服务器对象的痕迹可被 SIEM 捕获并及时告警。

Azure Automation Account 支持自定义 PowerShell 模块与 Python 包，攻击者上传带后门的包即可在 Runbook 中实现持久化驻留。文章演示完整攻击链（含 Runtime Environments 预览功能的影响），并发布 Get-AzAutomationCustomModules 工具辅助排查。

演示在 SQL Server 中创建、导入、导出并修改 CLR 程序集，实现执行系统命令、提权与持久化，并新增 PowerUpSQL 函数把 CLR 攻击批量铺开到 Active Directory 环境。

发布 Invoke-DCSync PowerShell 脚本，封装 Mimikatz 的 DCSync 功能：伪装域控制器向真实 DC 发起目录复制同步请求，无需登录域控即可导出域账户哈希，若启用可逆加密 GPO 还能直接获得明文密码。

发布 Invoke-MassMimikatz-PsRemoting 脚本：结合 SPN 服务发现、PowerShell Remoting 与 Invoke-Mimikatz，自动定位开启 WinRM 的域内主机并批量收集凭据，支持替代凭据与非域机器发起。