LDAP avanzado y búsqueda de LAPS

Un filtro LDAP utiliza notación prefija con operadores lógicos: (& ...) para AND, (| ...) para OR y (! ...) para NOT. Por ejemplo, para listar cuentas de usuario activas que tengan dirección de correo configurada se utiliza: (&(objectCategory=person)(objectClass=user)(!(userAccountControl:1.2.840.113556.1.4.803:=2))(mail=*)). El número 1.2.840.113556.1.4.803 es la regla de comparación de bits (bitmask LDAP) que evalúa si el flag ACCOUNTDISABLE (bit 2) está activo.

En redes sin LAPS, la cuenta de Administrador local de todas las estaciones de trabajo comparte la misma contraseña (establecida al clonar la imagen del sistema). Si un atacante compromete un equipo y extrae esa clave, puede moverse lateralmente a las quinientas máquinas restantes con Pass-the-Hash. LAPS resuelve esto generando una contraseña aleatoria y única para cada equipo, que se rota periódicamente y se almacena cifrada en un atributo de Active Directory.

El LAPS clásico guardaba la contraseña en texto claro en el atributo ms-Mcs-AdmPwd del objeto equipo, restringiendo su lectura mediante permisos de lectura extendida (All Extended Rights). Si un administrador cometía un error de delegación en la Unidad Organizativa, cualquier usuario de mesa de ayuda podía leer la contraseña en texto plano. Windows LAPS moderno (nativo en Windows 10/11 y Server 2022) almacena la credencial en msLAPS-Password, cifrada con la clave pública de Active Directory y compatible con Azure AD.

Los atacantes utilizan consultas LDAP para encontrar el 'eslabón débil': equipos donde la política de grupo de LAPS falló o no se aplicó. La consulta (&(objectCategory=computer)(!(ms-Mcs-AdmPwd=*))(!(msLAPS-Password=*))) devuelve todos los equipos del dominio que carecen de contraseña gestionada por LAPS. Estas máquinas suelen conservar la contraseña genérica de la imagen inicial, convirtiéndose en el blanco prioritario de la intrusión.