Volatility detalha como caçar o Skeleton Key do Mimikatz na memória de controladores de domínio
A equipe do Volatility publicou um estudo de caso mostrando como detectar o ataque Skeleton Key do Mimikatz, que injeta código no lsass.exe e força o downgrade de Kerberos AES para RC4, criando uma senha universal para qualquer conta do Active Directory. O post documenta o plugin windows.skeleton_key_check, que valida diretamente a estrutura _KERB_ECRYPT em memória em vez de depender de heurísticas sujeitas a falso positivo.
Fonte ↗