Un'utilità di furto di credenziali è un software progettato per estrarre materiale di autenticazione da un host compromesso, come nomi utente, hash delle password, token memorizzati nella cache o segreti di sessione. Gli aggressori usano questi strumenti dopo un accesso iniziale per espandere l'accesso, muoversi lateralmente o impersonare utenti legittimi.
Nelle intrusioni reali, queste utilità spesso operano insieme a reverse shell, impersonazione di servizi o altri strumenti di post-exploitation. Sono importanti perché le credenziali rubate possono aggirare i controlli sugli endpoint e far apparire l'attività normale. I difensori cercano accessi sospetti alla memoria, probing di LSASS, dump inattesi degli archivi di credenziali e accessi effettuati da account che non hanno mai cambiato comportamento.