手工複製 Windows 隱藏管理員帳戶：注册表 SAM 鍵值克隆技術與後門風險

攻擊者可透過命令列建立隱藏帳戶 (net user test$ /add)，提權為管理員，再操作登錄表 HKLM\SAM\SAM\Domains\Account\Users 將普通帳戶鍵值複製覆蓋至隱藏帳戶，再刪除隱藏帳戶「空殼」並匯入修改後的 .reg，形成擁有管理員權限且在使用者管理/命令列不可見的完美後門。殺毒軟體無法查殺，極具隱蔽性。

攻擊步驟還原 (僅供防禦理解)

1. 命令列建立隱藏帳戶：net user test$ /add → net localgroup administrators test$ /add。
2. regedt32.exe 修改 HKLM\SAM\SAM 權限，給 Administrators 完全控制。
3. regedit.exe 定位 HKLM\SAM\SAM\Domains\Account\Users\Names\test$ 記下 Type 值 (如 0x404) → 對應 Users\00000404。
4. 導出 00000404 (隱藏帳戶) 與 000001F4 (Administrator) 為 .reg。
5. 記事本開啟 Administrator .reg，複製 F 二進位值覆蓋隱藏帳戶 .reg 的 F 值 → 存檔。
6. net user test$ /del 刪除帳戶外殼。
7. 雙擊匯入修改後的兩個 .reg，隱藏管理員帳戶建立完成。

防禦對策

• 定期稽核 HKLM\SAM\SAM\Domains\Account\Users\Names 是否有異常 `$` 結尾帳戶。
• 啟用「稽核安全性事件」群組原則，監控帳戶建立/刪除/權限變更 (事件 ID 4720/4726/4738)。
• 限制一般用戶寫入 SAM 登錄表權限 (預設僅 SYSTEM/Administrators)。
• 使用 AppLocker/軟體限制原則禁止 regedt32.exe/regedit.exe 非管理員執行。
• 部署 EDR/主機入侵偵測系統 (HIDS) 監控異常登錄表寫入。

結論

隱藏克隆帳戶是極難發現的持久化後門，防禦核心在於「最小權限原則」與「登錄表/帳戶變更稽核」，而非依賴殺毒軟體掃描。