Да уж, pass-the-hash — как волшебная палочка для непрошеных гостей, только без всякой магии, просто по-простому: нашёл хеш — заходи, гуляй. Главное, чтоб у админов в голове порядок был, а не чтоб они с доменом на нормальных тачках тусовались, тогда точно можно крышу сорвать.