駭客克隆帳戶清除五大策略：註冊表鍵值複製隱藏提權，徹底斷除後門

駭客入侵後常在註冊表複製管理員帳戶鍵值，創建隱藏克隆帳戶（名稱以 $ 結尾），在「使用者管理」、「net user」中完全不可見，卻擁有完整管理員權限，殺毒軟體也查殺不了。五大策略教您從註冊表層面徹底識別、清除這類頂級後門。

克隆帳戶原理

• Windows 帳戶資訊存於 HKLM\SAM\SAM\Domains\Account\Users\Names 及對應 Users\ 鍵值。
• 駭客修改 SAM 許可權 → 複製 Administrator RID 0x1F4 (500) 鍵值至新帳戶 RID（如 0x404）→ 修改 F 值賦予管理員權限 → 隱藏帳戶名稱（以 $ 結尾）。
• 結果：隱形管理員帳戶，持久化控制主機。

五大清除策略（實戰演示）

1. 命令列建立測試克隆帳戶（理解機制）

net user test$ /add
net localgroup administrators test$ /add

2. 註冊表授權 SAM 讀寫權限

• regedt32.exe → HKLM\SAM\SAM → 安全性 → 許可權 → Administrators 給予「完全控制」。

3. 定位並導出關鍵鍵值

• regedit.exe → HKLM\SAM\SAM\Domains\Account\Users\Names\test$ 記下類型值 0x404。
• 對應 HKLM\SAM\SAM\Domains\Account\Users\00000404（隱藏帳戶完整資訊）。
• 對照 Administrator 對應 000001F4。
• 導出三個 .reg 檔：test$.reg、user.reg (00000404)、admin.reg (000001F4)。

4. 替換 F 值賦予管理員權限（核心步驟）

• 記事本開啟 admin.reg → 複製 F 開頭的十六進制資料串。
• 開啟 user.reg → 替換其 F 值資料為剛複製的管理員 F 值 → 儲存。

5. 刪除空殼帳戶 → 導入修改後鍵值 = 完成克隆

net user test$ /del
reg import test$.reg
reg import user.reg

• 原理：net user /del 僅刪除 Names 下的「空殼」，SAM 內完整權限資料（RID 鍵值）保留，導入修改後鍵值即重建隱形管理員。

防禦與檢測

• 定期導出 HKLM\SAM\SAM\Domains\Account\Users\Names 對比異常帳戶（以 $ 結尾、未授權 RID）。
• 使用 net user / wmic useraccount get name,sid 交叉驗證（克隆帳戶 SID 為 500 但名稱不同）。
• 啟用「稽核安全性事件」記錄帳戶管理操作（事件 ID 4720/4722/4724/4725/4726/4738/4740/4767/4780/4781/4794/5376/5377）。
• 限制 SAM 註冊表權限：Administrators 僅「讀取」，防止惡意修改。

克隆帳戶是駭客最隱蔽、殺毒軟體最難查的後門。掌握註冊表鍵值複製機制，定期稽核 SAM 資料庫，才能真正斷除頂級持久化威脅。