只需1个特殊用户名，攻击者竟能在Windows登录界面直接获取SYSTEM权限

“在用户会话尚未开始，后门已经在运转。”赛门铁克研究人员在2026年5月的一份通报中如此描述一款新发现的Windows后门。攻击者甚至不需要任何漏洞利用，只要在登录屏幕上敲入一个特定的用户名，就可以立即打开一个拥有系统最高权限（SYSTEM）的命令行窗口——不是远程桌面，不是代码注入，仅仅是键入几个字符，然后按下回车。

这起事件出现在一家跨国高科技制造商位于台湾的子公司的受感染电脑上。调查人员发现该主机同时感染了两个恶意程序：一个是早已被归因到中国背景间谍活动的复杂工具Daxin，另一个则是前所未见的后门，代号Backdoor.Stupig（以下称该后门）。两者并存暗示背后可能存在一条长期的行动链条，尽管目前尚未在代码层面确认直接关联。

该后门的特殊之处在于，它并非通过发送文件或开启端口来维持访问，而是将自己的代码注入Windows开机就启动的关键进程，伪装成键盘布局支持模块。在登录屏幕这个看似“安全”的阶段，它就已经构建起一个SYSTEM级别的命令执行环境。许多企业的安全监控在用户真正登录后才启动，该后门恰好卡在监控空白区行动，几乎不会留下“曾打开过特权Shell”的明确日志。

从技术上看，Windows登录时，系统会加载键盘布局的动态链接库（DLL），以便用户在密码框中输入正确的字符。该后门就借此将自己注册为一个键盘布局提供程序，使得Windows在启动时老老实实地将其恶意DLL加载进winlogon.exe——也就是负责登录界面和安全注意序列的核心进程。加载后，它仍正常返回键盘数据，用户完全察觉不到异常，而埋在代码里的监听逻辑已在暗处就位。

该监听逻辑异常简单：它只盯着以字母“stupig”开头的用户名。如果攻击者在登录界面输入“stupig”并直接回车，后门便会在安全桌面上启动一个SYSTEM权限的命令提示符。如果输入“stupig”后面还跟着其他字符，例如“stupig whoami”，那么后面的字符会作为命令直接在提权后的Shell里执行。执行完毕后，该后门并不自行处理登录请求，而是将其重新交还给正常的Windows认证流程。于是，系统只会产生一条“用户 stupig 登录失败”的标准日志，没人察觉在这一瞬间，攻击者已经用最高权限执行了任意命令。

这种设计冷峻之处在于，它根本不需要依靠远程连接、网络端口或额外的服务进程来维持访问。攻击者只要能抵达登录界面（无论是物理接触还是通过远程桌面），就可以触发后门。对于某些高度隔离、仅暴露登录界面的内网机器而言，这无异于在保险柜门把手上加装了一个暗格。更麻烦的是，该后门并非独立进程，而是寄生在winlogon.exe这类安全团队白名单里的可信程序体内，常规终端扫描很难将其与正常键盘支持文件区分。赛门铁克在相似性分析中也未找到已知家族的匹配，说明这很可能是一款完全定制的工具。

除了弹出Shell，该后门还在winlogon.exe中植入了钩子函数，专门拦截与认证和凭据处理相关的Windows API。这意味着攻击者不仅能通过暗门执行命令，还能悄悄捕获用户在登录界面输入的密码、令牌等敏感信息。调查人员还在恶意代码里发现了一个名为msyun.dll的同伴文件引用，但受感染环境中没能找到该模块的实际样本，目前尚不清楚它是用于横向移动、数据回传，还是充当下一阶段的下载器。

那么，攻击者最开始是如何将这个后门植入的？调查人员怀疑初始入口是一套极其老旧的Digiwin单点登录门户。这套系统当时仍依赖2009至2011年间发布的Java开发工具包（JDK）版本，攻击者很可能利用了这些古董级组件的已知漏洞突破了边界。考虑到那家台湾子公司处于高科技制造行业，在供应链和核心技术方面对中国具有战略价值，整个入侵的动机也就显得更加清晰。

如果把该后门的行动链条拆解，大致可归纳为四个阶段：第一，植入与伪装——攻击者通过老旧系统漏洞将后门DLL放置进系统，并注册为键盘布局提供程序；第二，寄生与加载——系统开机时，winlogon.exe自动加载该DLL，恶意代码开始监听登录界面；第三，触发与执行——在登录界面输入特定前缀的用户名，后门根据是否附带命令，选择打开SYSTEM Shell或直接执行命令，随后将请求导回正常流程，留下极少的痕迹；第四，持续窃取——通过钩子拦截认证API，持续捕获用户凭据，同时可能通过同伴模块实现更多恶意功能。