За последний год было описано несколько атак (Kerberos Relay, NTLM Reflection), связанных с оригинальным ислледованием Project Zero, и в частности, со специфичным маршаллингом дополнительных данных внутри SPN.
Детектировать подобные атаки часто предлагают по событиям DNS\SMB запросов\трафика с именем примерно такого формата:
.+1UWhRCAAAAAAAAAAAAAAAAAAAAAA.+YBAAAA.*
либо по чуть более широкому варианту:
.+1UWhRC.+
На самом деле, подобный детект можно обойти, указав вот такое имя (тоже будет работать):
<hostname>1UWhRGAAAAAAAAAAIAAAAAAAAAAAAAAAQAAAAAtestKerberoswBAAAA
Поэтому рекомендуем пересмотреть уже существующую у вас логику детектирования и расширить формат детектируемого имени до вот такого: 1UWhR