Credential Theft

detecting-t1003-credential-dumping-with-edr 技能，適用於結合 EDR、Sysmon 與 Windows 事件關聯進行威脅狩獵，偵測 LSASS、SAM、NTDS.dit、LSA secrets 以及快取憑證傾印。可用來驗證告警、界定事件範圍，並透過實作導向的流程指引降低誤判。

detecting-dcsync-attack-in-active-directory 是一項威脅狩獵技能，可透過關聯 4662 事件、複寫 GUID 與合法 DC 帳號，找出 Active Directory 中的 DCSync 濫用。可用來搭配 Splunk、KQL 與解析腳本，確認、分流並記錄憑證竊取活動。

適用於惡意程式分析的 extracting-config-from-agent-tesla-rat 技能：可依可重複的工作流程，擷取 Agent Tesla 的 .NET 設定、SMTP/FTP/Telegram 憑證、keylogger 設定與 C2 端點。