AdminSDHolder
ドメイン内の全特権アカウントのひな型となるアクセス制御リストを持つオブジェクト。バックグラウンド処理が1時間ごとにそれを上書きし直す。攻撃者が仕込んだものも含めて。
この機能には正当な理由がある。なければ、権限が限定された管理者がDomain Admins内のアカウントに恒久的な権限を付与し、保持し続けることができてしまう。そこでドメインコントローラー上のSDPropプロセスが60分ごとに、保護対象の全オブジェクトのアクセス制御リストをAdminSDHolderのひな型で上書きし、adminCountで印を付ける。悪用はその鏡像だ。ひな型自体への書き込み権限を得た者が自分の権限をそこに入れると、1時間以内にドメイン内の全特権アカウントへ書き込まれ、以後も1時間ごとに書き戻される。誰かが手作業で消しても残る。典型的な永続化手法であり、あらゆる監査で必ず確認される項目だ。