איך זה עובד
Controllers מסנכרנים ביניהם את מסד הנתונים של דרך פרוטוקול השכפול (DRSUAPI). כדי לבקש שכפול צריך הרשאה מיוחדת: (ובפועל גם Replicating Directory Changes All) על אובייקט הדומיין.
מנצל את זה: התוקף מתחזה ל־ ומבקש מה־DC האמיתי «תשכפל לי את הנתונים». בתגובה הוא מקבל את ה־password hashes של כל חשבון — כולל KRBTGT (הבסיס ל־) ו־Administrator. הכל קורה ברשת, בלי להעתיק קובץ NTDS.dit ובלי להריץ קוד על ה־DC.