El SID History es un atributo legítimo de Active Directory que conserva el SID de un usuario de un dominio anterior durante las migraciones, lo que permite que el acceso a recursos antiguos continúe sin tener que reasignar permisos. Los atacantes aprovechan esto inyectando SID adicionales —incluidos SID de alto privilegio como Domain Admins— en el atributo SID History de una cuenta de usuario. Debido a que los tokens de acceso de Windows incluyen valores de SID History, el SID inyectado otorga al usuario todos los privilegios asociados con el grupo inyectado sin que se vea ningún cambio visible en la membresía de grupo. Este ataque es sutil precisamente porque las membresías de grupo del usuario se ven normales en las vistas estándar de Active Directory: el privilegio malicioso reside en el atributo SID History, que requiere consultas de auditoría específicas para detectarlo. Detección: consulta todas las cuentas de Active Directory en busca de atributos de SID History no vacíos y cruza la información con el historial de migraciones esperado. Las capacidades de detección de amenazas de identidad de Huntress monitorean patrones anómalos de escalada de privilegios, incluidas modificaciones inesperadas del SID History, como parte de la protección de Active Directory. Enlace a las páginas de Active Directory y de gestión de accesos privilegiados.