AD Recycle Bin group abuse

La Papelera de reciclaje de Active Directory (AD Recycle Bin) es una función que, cuando está habilitada, conserva los objetos borrados (usuarios, equipos, grupos) junto con todos sus atributos durante un tiempo (el msDS-deletedObjectLifetime, 180 días por defecto), para poder restaurarlos. Los miembros del grupo AD Recycle Bin pueden leer y recuperar esos objetos eliminados.

El abuso es de manual: un objeto borrado conserva atributos sensibles que normalmente no se ven, y si una cuenta a la que tenemos acceso pertenece a ese grupo, podemos consultarlos. El caso típico es una cuenta temporal de administración creada y luego borrada, cuya contraseña sigue guardada en un atributo (un cascadeLegacyPwd, algo escrito en info o en description, etc.).

Mecanismo

Primero se confirma la pertenencia al grupo (por eso tenemos acceso a la papelera):

Get-ADGroupMember -Identity "AD Recycle Bin"
whoami /groups | findstr /i "Recycle"

La consulta clave lista los objetos borrados del contenedor CN=Deleted Objects con todos sus atributos:

Get-ADObject -Filter 'isDeleted -eq $true -and name -ne "Deleted Objects"' -IncludeDeletedObjects -Properties *
# acotar a un usuario concreto y ver solo los campos jugosos
Get-ADObject -Filter 'samAccountName -eq "TempAdmin"' -IncludeDeletedObjects -Properties * |
  select samAccountName,description,info,cascadeLegacyPwd,lastKnownParent

Buscando el usuario borrado interesante (por ejemplo un TempAdmin) se recupera la contraseña que llevaba al ser eliminado. Si esa cuenta reutilizaba la contraseña de un usuario privilegiado, el salto a Administrator es directo. Si en vez de leer un atributo interesa restaurar el objeto (para reactivar una cuenta y su pertenencia a grupos), se hace con:

Restore-ADObject -Identity <objectGUID>

Requisitos

La papelera de AD habilitada (no lo está por defecto en dominios antiguos) y una cuenta que pertenezca al grupo AD Recycle Bin o con permisos de lectura sobre CN=Deleted Objects. El valor depende de que alguien haya borrado un objeto con un secreto reutilizable dentro.

Cómo detectarlo. La lectura de objetos borrados es una consulta LDAP contra el contenedor CN=Deleted Objects; con auditoría de acceso al directorio activa, deja Event ID 4662 (acceso a un objeto) sobre ese contenedor por parte de una cuenta que no gestiona restauraciones. Enumerar todos los objetos borrados de golpe (barrido con Get-ADObject -IncludeDeletedObjects) es la firma frente a una restauración legítima puntual. Una restauración real (Restore-ADObject) genera además un 5136/4741/4720 según el tipo de objeto reactivado. Vigilar la pertenencia al grupo AD Recycle Bin (un 4728/4732 al añadir un miembro) detecta el abuso antes de que se use.

Defensa. Tratar el grupo AD Recycle Bin como un grupo privilegiado (su pertenencia debe ser mínima y auditada), no almacenar secretos en atributos de objetos, y nunca reutilizar la contraseña de cuentas privilegiadas en cuentas temporales que luego se borran (el borrado no elimina el atributo de la papelera). Conecta con la reutilización de credenciales y el abuso de ACLs.