Credential Theft

detecting-t1003-credential-dumping-with-edr 是一项面向威胁狩猎的 skill，结合 EDR、Sysmon 和 Windows 事件关联，检测 LSASS、SAM、NTDS.dit、LSA secrets 以及缓存凭据转储。可用于验证告警、梳理事件范围，并借助实用流程指导降低误报。

detecting-dcsync-attack-in-active-directory 是一项威胁狩猎技能，用于通过关联 4662 事件、复制 GUID 和合法的 DC 账户，识别 Active Directory 中的 DCSync 滥用。可用它借助 Splunk、KQL 和解析脚本来确认、分诊并记录凭据窃取活动。

extracting-config-from-agent-tesla-rat 技能，面向恶意代码分析：提取 Agent Tesla .NET 配置、SMTP/FTP/Telegram 凭据、键盘记录器设置和 C2 端点，并提供可重复的工作流指引。