AdminSDHolder Abuse

Définition

L'AdminSDHolder Abuse consiste à modifier les ACL de l'objet AdminSDHolder, situé dans le conteneur CN=System de la partition domaine (CN=AdminSDHolder,CN=System,DC=...), afin d'y inscrire des droits malveillants qui seront ensuite automatiquement propagés à l'ensemble des comptes et groupes considérés comme protégés par Active Directory, sans nécessiter d'action supplémentaire de l'attaquant après la modification initiale. Ce mécanisme repose sur le processus SDProp (Security Descriptor Propagator), qui s'exécute par défaut toutes les soixante minutes et copie systématiquement les permissions définies sur AdminSDHolder vers l'ensemble des objets marqués protégés, incluant notamment les membres des groupes Domain Admins, Enterprise Admins, Schema Admins et Administrators. Un attaquant disposant, même temporairement, de droits d'écriture sur cet objet peut ainsi y inscrire un droit GenericAll ou WriteDACL accordé à un compte sous son contrôle, garantissant que ce compte hérite automatiquement de privilèges étendus sur l'ensemble des comptes hautement privilégiés du domaine dès le prochain cycle SDProp, y compris sur des comptes qui deviendraient administrateurs après coup. Cette technique constitue un mécanisme de persistance particulièrement redouté car sa remédiation ne se limite pas à supprimer la permission ajoutée : elle nécessite également d'attendre ou de déclencher manuellement un nouveau cycle SDProp pour propager effectivement la correction à l'ensemble des comptes affectés.