Track Windows / Teoría
AD-5 AD · Mantener el control (y entenderlo para defender)
AD: persistencia de dominio
Una vez dueño del dominio, un atacante real deja puertas traseras. En el examen rara vez se pide, pero entenderlo es clave para la parte defensiva (Blue Team) y para saber qué buscar. Aquí, con cabeza: qué son y por qué son tan difíciles de limpiar.
🎫Golden y Silver Ticket
| Golden Ticket | con el hash de krbtgt forjas un TGT para CUALQUIER usuario (incl. un DA inexistente). Control total y difícil de detectar; solo se invalida rotando krbtgt DOS veces. |
| Silver Ticket | con el hash de una cuenta de servicio forjas un TGS para ESE servicio concreto. Más sigiloso, más limitado. |
| Diamond / Sapphire | variantes modernas más sigilosas que modifican tickets legítimos. |
🔐Otras técnicas de persistencia
| DSRM | la cuenta de recuperación del DC; configurada, permite login como admin local del DC. |
| AdminSDHolder | plantilla de ACL que se re-aplica cada hora a los grupos protegidos; un permiso ahí = re-admin automático. |
| Skeleton Key | parchea LSASS del DC para aceptar una contraseña maestra en todas las cuentas (ruidoso, en memoria). |
| Cuentas/SPN añadidos | crear usuarios, añadir SPNs o resetear krbtgt-like para volver a entrar. |
🛡Por qué esto importa para DEFENDER
Entender la persistencia es lo que te hace bueno en Blue Team: saber que un Golden Ticket solo se mata rotando krbtgt dos veces, que AdminSDHolder se revisa periódicamente, o que un DCSync inesperado es una alarma roja. Ataque y defensa son la misma moneda.
En la academia, el track de Blue Team cubre la detección de todo esto.
"¿Hago persistencia en el examen?"
Normalmente NO hace falta y puede desordenar el entorno. Céntrate en conseguir el objetivo y documentar. La persistencia es para entornos reales / Red Team / y para entender la defensa.
🔎 No memorices comandos. Ten el Arsenal abierto en otra pestaña y busca ahí el comando exacto cuando lo necesites. Entiende el POR QUÉ aquí; el COMANDO lo copias del Arsenal.
Abrir Arsenal