AdminSDHolder
Objektet vars behörighetslista fungerar som mall för alla privilegierade konton i domänen. En bakgrundsprocess stämplar tillbaka den varje timme — även på det angriparen lagt dit.
Funktionen finns av en god anledning. Utan den skulle en administratör med begränsade rättigheter kunna få bestående behörigheter på ett konto i Domain Admins, och sedan behålla dem. Därför kör processen SDProp på domänkontrollanten var sextionde minut och skriver över behörighetslistan på varje skyddat objekt med mallen från AdminSDHolder, samtidigt som den märker objektet med adminCount. Missbruket är den exakta spegelbilden: den som lyckats få skrivrätt till själva mallen lägger in sin egen behörighet där, och inom en timme är den utstämplad på samtliga privilegierade konton i domänen — och stämplas dit igen varje timme, vilket överlever att någon städar bort den för hand. Klassisk persistens och en stående punkt i varje granskning.