AdminSDHolder
El objeto cuya lista de control de acceso sirve de plantilla para todas las cuentas privilegiadas del dominio. Un proceso en segundo plano la vuelve a estampar cada hora — incluido lo que el atacante haya dejado ahí.
La función existe por una buena razón. Sin ella, un administrador con derechos limitados podría recibir permisos duraderos sobre una cuenta de Domain Admins y conservarlos. Por eso el proceso SDProp del controlador de dominio se ejecuta cada sesenta minutos y sobrescribe la lista de control de acceso de cada objeto protegido con la plantilla de AdminSDHolder, marcando de paso el objeto con adminCount. El abuso es la imagen especular exacta: quien logra acceso de escritura a la propia plantilla mete allí su propio permiso, y en menos de una hora queda estampado en todas las cuentas privilegiadas del dominio — y se vuelve a estampar cada hora, de modo que sobrevive a que alguien lo limpie a mano. Persistencia clásica y punto fijo en toda auditoría.