防駭客隱藏帳戶後門：Windows 系統隱藏帳戶製作原理、偵測與清除完整揭密

駭客入侵後常建立隱藏帳戶（如 hacker$）並提升為管理員權限，長期控制肉雞。隱藏帳戶分為「$ 尾碼簡易隱藏」、「登錄檔 SAM 區域深度隱藏」、「移除管理員 SAM 權限鐵桶隱藏」三級。本文完整揭露製作原理、偵測方法與清除對策。

三級隱藏帳戶技術

第一級：$ 尾碼簡易隱藏（僅隱藏於 net user）

net user hacker$ 123456 /add
net localgroup administrators hacker$ /add

• net user 不顯示 $ 結尾帳戶。
• 「電腦管理」→「本地使用者和群組」完全可見，極易被發現。

第二級：登錄檔 SAM 區域深度隱藏（net user 與電腦管理雙隱）

1. 取得 HKEY_LOCAL_MACHINE\SAM\SAM 完全控制權限（用 regedt32.exe 修改 Administrators 權限）。
2. 在 ...\\SAM\\Domains\\Account\\Users\\Names 找到隱藏帳戶對應鍵值（如 0x3E9）。
3. 導出隱藏帳戶鍵值、Admin 鍵值，用記事本將 Admin 的 F 值覆蓋隱藏帳戶的 F 值。
4. 刪除隱藏帳戶（net user hacker$ /del），導入修改後的 .reg 檔。
5. 結果：帳戶在 SAM 中以 Administrator 身分存在，但 Names 區無記錄，雙重隱藏。

第三級：移除管理員 SAM 權限鐵桶隱藏（連 regedt32 都無法操作）

完成第二級後，再次用 regedt32.exe 移除 Administrators 對 SAM\SAM 的所有權限。管理員無法展開 SAM 進行任何操作，隱藏帳戶堅不可摧。

專用工具一鍵建立：HideAdmin

HideAdmin hacker$ 123456

效果等同第二級+第三級，自動完成權限修改、SAM 替換、權限移除。

四大偵測與清除對策

1. 偵測 $ 尾碼帳戶：
   net localgroup administrators 列出所有管理員群組成員，$ 尾碼帳戶現形。或直接看「電腦管理」。
2. 偵測登錄檔隱藏帳戶：
   對比 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names 與「電腦管理」使用者清單，多出者即隱藏帳戶。直接刪除該 Names 下鍵值即可清除。
3. 應對無權限刪除 SAM 隱藏帳戶：
   利用「群組原則」啟用稽核：
   gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 本地原則 → 稽核原則 → 啟用「稽核登入事件」「稽核程序追蹤」（成功/失敗）。
   事件檢視器記錄隱藏帳戶登入時間、甚至刪除日誌的帳戶名。再用 net user 隱藏帳戶 新密碼 修改密碼使其失效。
4. 開啟登入事件稽核追蹤：
   配合事件檢視器（安全性日誌），Event ID 4624/4625 記錄所有登入嘗試，包含隱藏帳戶。即使駭客清除日誌，系統會記錄「誰清除了安全性日誌」（Event ID 1102），反向鎖定隱藏帳戶。

防禦建議：定期匯出 SAM Names 區鍵值備份比對、強制複雜密碼策略、限制 3389/445 連接埠暴露、部署 HIDS/EDR 監控異常帳戶建立行為（Event ID 4720）。