AdminSDHolder
O objeto cuja lista de controle de acesso serve de modelo para todas as contas privilegiadas do domínio. Um processo em segundo plano a reaplica de hora em hora — inclusive o que o invasor tiver colocado ali.
O recurso existe por um bom motivo. Sem ele, um administrador com direitos limitados poderia conseguir permissões duradouras numa conta do Domain Admins e depois mantê-las. Por isso o processo SDProp roda no controlador de domínio a cada sessenta minutos e sobrescreve a lista de controle de acesso de todo objeto protegido com o modelo do AdminSDHolder, marcando o objeto com adminCount de quebra. O abuso é o espelho exato disso: quem consegue acesso de escrita ao próprio modelo insere ali sua permissão, e em até uma hora ela é replicada para todas as contas privilegiadas do domínio — e reaplicada a cada hora depois disso, sobrevivendo a qualquer limpeza manual. Persistência clássica e item permanente em toda auditoria.