Este playbook fornece etapas de correção sistemática para investigar incidentes suspeitos de serem causados pelo Mimikatz DCShadow. O DCShadow é um recurso do Mimikatz que simula o comportamento de um controlador de domínio (um servidor que controla o Active Directory) para injetar seus próprios dados, ignorando a maioria dos controles de segurança padrão (incluindo SIEMs).

O Mimikatz DCShadow ajuda o invasor a estabelecer um controlador de domínio (DC) não autorizado que se torna parte do Active Directory (AD). Depois de registrado, ele pode atuar como um DC legítimo e causar danos.