捷维科技 1 月 25 日消息，科技媒体 bleepingcomputer 昨日（1 月 24 日）发布博文，报道称黑客组织 Andariel 借助 RID 劫持技术，欺骗 Win10、Win11 系统，将低权限账户视为管理员权限账户。
捷维科技注：RID 全名为 Relative Identifier，直译过来为相对标识符，隶是 Windows 系统中安全标识符（SID），而 SID 是分配给每一个用户账户的唯一标识符。
RID 的值指示账户的访问级别，比如管理员为500，来宾账户为501，普通用户为1000，域管理员组为512。
所谓的 RID 劫持，就是攻击者修改低权限账户的 RID，让其匹配管理员账户的 RID 值，Windows 系统就会授与其提高的访问权限。不过实行此攻击需要访问 SAM 注册表，因此黑客需要第一入侵系统并获得 SYSTEM 权限。
为了减少 RID 劫持攻击的风险，系统管理员应该用当地安全机构（LSA）子系统服务来检查登录尝试和密码更改，并预防对 SAM 注册表的未经授权的访问和更改。还建议限制 PsExec、JuicyPotato 和类似工具的实行，禁用 Guest 账户，并用多原因身份验证保护所有现有账户。