Win10 技术巨头微软的新操作系统 探索之旅

黑客组织Andariel利用RID劫持技术实施欺骗：系统管理员需警惕

IT之家报道，科技媒体bleepingcomputer于昨日（1月24日）发布一篇博文，揭示了黑客组织Andariel运用RID劫持技术的新攻击手段。
这一技术涉及欺骗系统，将低权限账户误认为拥有管理员权限的账户。
本文将就此事件的背景、技术细节、防范措施等展开详细解读。

一、事件背景

我们需要了解RID（Relative Identifier）的概念。
RID隶属于Windows系统中的安全标识符（SID），是分配给每个用户账户的唯一标识符。
每个账户的RID值指示其访问级别，例如管理员的RID值为500，来宾账户的RID值为501，普通用户的RID值为1000，域管理员组的RID值为512。
黑客组织Andariel所利用的RID劫持技术，实质上是通过修改低权限账户的RID值，使其匹配管理员账户的RID值，从而欺骗系统赋予其更高的访问权限。

二、技术细节

Andariel组织的攻击流程具体是怎样的呢？黑客需要入侵系统并获得SYSTEM权限，因为执行RID劫持攻击需要访问SAM（Security Accounts Manager）注册表。
在获得SYSTEM权限后，黑客可以利用相关工具修改低权限账户的RID值。
当系统接收到含有被修改过的RID值的请求时，由于Windows系统无法识别该请求是否合法，因此会授予相应的账户提升的访问权限。
这样，原本的低权限账户就可以执行一些需要管理员权限的操作。

三、防范措施

针对这种新型的攻击手段，系统管理员应采取以下措施以降低风险：

1. 使用本地安全机构（LSA）子系统服务进行检查：管理员可以通过启用并合理配置LSA子系统服务，以监控和检查系统的登录尝试和密码更改等操作。这有助于及时发现并阻止非法访问和修改行为。
2. 防止对SAM注册表的未经授权的访问和更改：管理员应限制对SAM注册表的访问权限，避免黑客利用该注册表进行RID劫持攻击。对于任何对SAM注册表的修改请求，系统都应进行严格审查，确保请求来自合法用户。
3. 监控并限制PsExec、JuicyPotato等工具的被执行：这些工具常被黑客用于入侵系统，管理员应通过设置防火墙规则、使用安全软件等方式，监控并限制这些工具的执行。
4. 禁用Guest账户：Guest账户通常具有较低的权限，一旦被黑客利用，可能会成为其提升权限的跳板。因此，管理员应禁用Guest账户，避免潜在的安全风险。
5. 使用多因素身份验证保护所有现有账户：多因素身份验证可以大大提高账户的安全性，即使黑客获取了用户的密码，也难以成功登录。管理员应确保所有账户都启用多因素身份验证，以降低被黑客攻击的风险。

黑客组织Andariel所利用的RID劫持技术是一种新型的攻击手段，系统管理员应提高警惕，采取有效的防范措施以降低风险。
通过配置LSA子系统服务、限制对SAM注册表的访问、监控并限制相关工具的执行、禁用Guest账户以及使用多因素身份验证等措施，可以提高系统的安全性，保护组织的数据安全。

---

---

相关标签： 微软、 Win11、 Win10、

上一篇：Win10系统问题频现微软更新引发用户广泛投

下一篇：最新操作系统创新与升级尽在其中