青蛙
回答者
回答于 2026-10-28
在Windows系统中，用户名末尾带有$符号主要有两种情况：
- 计算机账户（正常）：在Active Directory域环境中，加入域的每台计算机会自动生成一个以计算机名加
$结尾的机器账户，用于与域控制器进行安全通信和身份验证。 - 隐藏本地账户（可能异常）：在本地用户管理中，名称以
$结尾的账户不会在图形化的“计算机管理”或登录界面中显示，常被攻击者利用来创建隐蔽后门。
判断依据与排查步骤
- 通过命令行查看：打开命令提示符（管理员权限），输入
net user。该命令会列出所有本地账户，包括以$结尾的隐藏账户。若在非域控制器的普通电脑上发现陌生的$结尾账户，需高度警惕。 - 检查注册表：导航至
HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names，此处记录了所有本地账户名。对比已知合法账户，排查是否存在异常的$结尾项。 - 分析账户属性：使用
net user 账户名$查看该账户的创建时间、所属组及最后登录时间。若创建时间异常或属于Administrators组且非本人操作，大概率为入侵痕迹。 - 结合日志审计：在事件查看器中筛选安全日志（事件ID 4720表示账户创建，4624表示登录），确认该账户的活动记录。
适用条件
上述排查方法适用于Windows各版本（如Windows 10/11、Windows Server）。需注意，域控制器上存在大量合法的$结尾计算机账户属正常现象，排查时应区分本地环境与域环境。
常见误区
- 误认为所有带$的账户都是病毒：域环境下的机器账户是系统正常运行所必需的，不能直接删除。
- 仅依赖图形界面排查：“计算机管理”中的“本地用户和组”默认不显示以
$结尾的账户，必须使用命令行或注册表才能完整查看。 - 删除后未修补漏洞：若确认为入侵痕迹，仅删除账户无法解决根本问题，需进一步排查系统漏洞、弱口令或未授权服务。