> ## Documentation Index
> Fetch the complete documentation index at: https://rootea.es/llms.txt
> Use this file to discover all available pages before exploring further.

# Shadow Credentials (msDS-KeyCredentialLink)

> Si tienes GenericWrite o AddKeyCredentialLink sobre un usuario/computer, añades una clave pública en msDS-KeyCredentialLink y autenticas con PKINIT como…

# Shadow Credentials (msDS-KeyCredentialLink)

<p className="glossary-answer">Si tienes GenericWrite o AddKeyCredentialLink sobre un usuario/computer, añades una clave pública en msDS-KeyCredentialLink y autenticas con PKINIT como ese principal.</p>

**Categoría:** [Active Directory · Vectores avanzados](/glosario)

🎯 **Trinchera** — Si tienes `GenericWrite` o
`AddKeyCredentialLink` sobre un usuario/computer, añades una clave
pública en `msDS-KeyCredentialLink` y autenticas con PKINIT como
ese principal. Persistencia sigilosa post-Whisker.

🔗 **Kill chain** — Requisito: write rights sobre el target. Salida:
TGT como el target sin tocar su contraseña.

📡 **Huella defensiva** — Event ID 5136 sobre atributo
`msDS-KeyCredentialLink`. Detection en Defender for Identity desde
2023\.

⚠️ **Falso amigo** — Mucho más fiable que rotar password de la
víctima (no le da pista). Pero requiere `WHfBLib` o equivalente
(Whisker, ntlmrelayx con `--shadow-credentials`).

🛡️ **Remediación** — Auditar Write rights sobre `msDS-KeyCredentialLink`;
restringir uso de Windows Hello for Business si no se usa.

```bash theme={null}
ntlmrelayx -t ldaps://dc01 --shadow-credentials --shadow-target target$
```

***

← [Volver al glosario completo](/glosario)

<script type="application/ld+json">
  {`{"@context":"https://schema.org","@type":"DefinedTerm","name":"Shadow Credentials (msDS-KeyCredentialLink)","description":"Si tienes GenericWrite o AddKeyCredentialLink sobre un usuario/computer, añades una clave pública en msDS-KeyCredentialLink y autenticas con PKINIT como ese principal.","inDefinedTermSet":{"@type":"DefinedTermSet","name":"Glosario táctico de pentesting","url":"https://rootea.es/glosario"},"url":"https://rootea.es/glosario/shadow-credentials-msds-keycredentiallink"}`}
</script>

<script type="application/ld+json">
  {`{"@context":"https://schema.org","@type":"BreadcrumbList","itemListElement":[{"@type":"ListItem","position":1,"name":"Inicio","item":"https://rootea.es"},{"@type":"ListItem","position":2,"name":"Glosario táctico","item":"https://rootea.es/glosario"},{"@type":"ListItem","position":3,"name":"Shadow Credentials (msDS-KeyCredentialLink)","item":"https://rootea.es/glosario/shadow-credentials-msds-keycredentiallink"}]}`}
</script>

*Última actualización: 2026-06-11*