黑客组织Andariel利用RID劫持技术，欺骗Windows 10和11系统，将低权限账户提升至管理员权限。攻击者首先利用漏洞获取系统SYSTEM权限，然后创建隐藏的低权限账户，并通过修改SAM注册表中的RID值，使其匹配管理员账户的RID，从而获得提升的访问权限。这种方法比直接创建管理员账户更隐蔽，难以被检测。攻击完成后，黑客会尝试清除痕迹，但系统管理员可以通过加强安全措施，如限制工具使用、禁用Guest账户、使用多因素认证等，来降低此类攻击的风险。

🔑Andariel黑客组织利用RID劫持技术，通过修改低权限账户的RID值，使其拥有管理员权限，从而控制Windows系统。

🛠️攻击流程包括：首先获取SYSTEM权限，然后创建隐藏的低权限账户，接着修改SAM注册表中的RID值，最后将账户添加到远程桌面用户和管理员组。

🛡️为了降低RID劫持攻击的风险，建议系统管理员使用LSA子系统服务检查登录尝试和密码更改，限制PsExec和JuicyPotato等工具的使用，并启用多因素身份验证。

IT之家 1 月 25 日消息，科技媒体 bleepingcomputer 昨日（1 月 24 日）发布博文，报道称黑客组织 Andariel 利用 RID 劫持技术，欺骗 Windows 10、Windows 11 系统，将低权限账户视为管理员权限账户。

IT之家注：RID 全称为 Relative Identifier，直译过来为相对标识符，隶属于 Windows 系统中安全标识符（SID），而 SID 是分配给每个用户账户的唯一标识符。

RID 的值指示账户的访问级别，例如管理员为“500”，来宾账户为“501”，普通用户为“1000”，域管理员组为“512”。

所谓的 RID 劫持，就是攻击者修改低权限账户的 RID，让其匹配管理员账户的 RID 值，Windows 系统就会授予其提升的访问权限。不过执行此攻击需要访问 SAM 注册表，因此黑客需要首先入侵系统并获得 SYSTEM 权限。

博文详细介绍了 Andariel 的攻击流程如下：

Andariel 利用漏洞，获得目标系统上的 SYSTEM 权限。

他们使用 PsExec 和 JuicyPotato 等工具启动 SYSTEM 级别的命令提示符，实现初始权限提升。

虽然 SYSTEM 权限是 Windows 上的最高权限，但它不允许远程访问，无法与 GUI 应用程序交互，容易被检测到，并且无法在系统重启后保持。为了解决这些问题，Andariel 首先使用“net user”命令并在末尾添加“'”字符来创建一个隐藏的低权限本地用户。

这样，攻击者确保该账户无法通过“net user”命令看到，只能在 SAM 注册表中识别。然后，他们执行 RID 劫持以将权限提升至管理员级别。

Andariel 将他们的账户添加到远程桌面用户和管理员组。

通过修改安全账户管理器（SAM）注册表可以实现所需的 RID 劫持。黑客使用定制的恶意软件和开源工具来执行这些更改。

虽然 SYSTEM 权限允许直接创建管理员账户，但根据安全设置的不同，可能会有一些限制。提升普通账户的权限更加隐蔽，更难被检测和阻止。

Andariel 试图通过导出修改后的注册表设置、删除密钥和恶意账户，然后从保存的备份中重新注册来掩盖其踪迹，从而在不出现在系统日志的情况下重新激活。

为了降低 RID 劫持攻击的风险，系统管理员应该使用本地安全机构（LSA）子系统服务来检查登录尝试和密码更改，并防止对 SAM 注册表的未经授权的访问和更改。还建议限制 PsExec、JuicyPotato 和类似工具的执行，禁用 Guest 账户，并使用多因素身份验证保护所有现有账户。