Delegación restringida basada en recursos (RBCD) y abuso de MachineAccountQuota

A diferencia de la delegación restringida clásica donde el permiso se define en la cuenta que solicita el ticket, en RBCD el control lo tiene el recurso que recibe la conexión. El servidor destino almacena en su propio atributo 'msDS-AllowedToActOnBehalfOfOtherIdentity' un descriptor de seguridad que define qué cuentas tienen permitido delegar hacia él.

Esto significa que quien tenga permisos para escribir en los atributos de un servidor (como un administrador local o una cuenta con GenericWrite sobre el objeto de equipo en AD) puede configurar este atributo sin necesidad de consultar ni pertenecer a Domain Admins.

Para explotar RBCD, el atacante necesita una cuenta en el dominio que posea un Service Principal Name (SPN) válido. Por defecto, en cualquier dominio de Active Directory, el atributo 'msDS-MachineAccountQuota' del dominio tiene el valor de 10.

Esto faculta a cualquier usuario ordinario no privilegiado para registrar hasta diez cuentas de computadora en el dominio utilizando herramientas como Powermad o Impacket. Estas cuentas de equipo recién creadas cuentan automáticamente con un SPN funcional y contraseñas conocidas por el operador.

Cuando el atacante dispone de derechos de escritura sobre el servidor víctima y de una cuenta de equipo bajo su control, ejecuta la cadena completa: primero añade la cuenta de equipo creada al atributo msDS-AllowedToActOnBehalfOfOtherIdentity del servidor víctima.

A continuación, utilizando las extensiones de Kerberos S4U2Self y S4U2Proxy, solicita un ticket de servicio haciéndose pasar por un Administrador del Dominio legítimo contra su propia máquina, y luego lo intercambia ante el KDC por un ticket válido contra el servicio CIFS, HTTP o WMI del servidor víctima, alcanzando privilegios de administrador local sin disparar alertas de autenticación tradicionales.

La defensa contra este vector requiere dos medidas cardinales e inmediatas. La primera consiste en fijar el atributo msDS-MachineAccountQuota en 0 a nivel de dominio, impidiendo que usuarios comunes puedan dar de alta máquinas no supervisadas.

La segunda radica en marcar las cuentas de administración de alto privilegio con el flag 'Account is sensitive and cannot be delegated' o incluirlas en el grupo global 'Protected Users'. Cuando una cuenta cuenta con esta marca, el KDC deniega taxativamente la emisión de tickets delegados a través de cualquier variante de S4U, neutralizando la suplantación.