Підроблений TGT (ticket-granting ticket), підписаний хешем акаунта krbtgt. Маючи krbtgt-хеш (напр., через DCSync), зловмисник самостійно виготовляє квитки Kerberos із довільними правами, членством у групах і терміном дії — це майже невидима персистентність у домені.
Єдиний надійний спосіб «відкликати» — двічі змінити пароль krbtgt. Споріднене: Silver Ticket (підробка TGS під конкретний сервіс).