发现Win11中以$结尾的账户（如admin$）是恶意隐藏账户，需用管理员命令行执行net user admin$ /delete清除，并删除注册表ProfileList和IdentityStore中对应项及凭据管理器中的相关凭据。
当你在Win11中发现一个名称带美元符号（如admin$）的异常账户，它极大概率是恶意软件或后门程序自动创建的隐藏账户，必须立即清除，否则会持续窃取凭证、绕过登录监控、执行远程命令。
确认该账户是否为系统级隐藏账户
按下 Win + R，输入 cmd → 回车 → 在命令提示符中执行：net user
查看输出列表中是否存在以 $ 结尾的用户名（如 admin$、svc$、backup$）。这类账户在“计算机管理→本地用户和组”中默认不可见，因为 Windows 将其识别为“共享资源账户”，但它们拥有完整用户权限，且常被用于横向渗透。
若确认存在，请勿直接右键删除——图形界面无法操作此类账户，强行在“用户账户”设置中点击“删除账户”会失败或无响应。
用管理员命令行强制删除该账户
右键点击“开始”按钮 → 选择“终端（管理员）” → 确保窗口标题栏显示“管理员：Windows 终端”。
执行以下命令（将 admin$ 替换为你实际发现的账户名）：net user admin$ /delete
如果返回 发生系统错误 5。 或 拒绝访问，说明该账户当前处于活动状态或被进程占用。此时需先禁用再删：net user admin$ /active:no → 回车 → 再执行 net user admin$ /delete。
【注意：此操作不可逆，删除后该账户所有配置文件、注册表项、NTFS权限记录将一并清除】
清除注册表中残留的SID与登录凭据
按下 Win + R，输入 regedit → 回车 → 点击“是”允许UAC提升。
依次定位并手动删除以下两个路径下的对应子项（若存在）：
① HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList → 查找子项名以 S-1-5-21- 开头、且右侧 ProfileImagePath 值包含 admin$ 字样的项 → 右键删除整条子项。
② HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\IdentityStore\RemoteFile → 查找键值中含 admin$ 或对应SID的条目 → 删除整个键值。
这一步能防止下次开机时系统因残留SID自动重建该账户。跳过则可能在数小时后再次出现同名账户。
扫描并清理Windows凭据管理器中的后门凭据
按下 Win + S，输入“凭据管理器” → 打开 → 切换到“Windows 凭据”选项卡。
在“普通凭据”和“基于证书的凭据”区域中，逐条检查，删除所有用户名含 $ 符号、或备注/地址字段出现 admin$、svc$、system$ 的条目。
这些凭据常被后门用来维持持久化登录，不清理会导致账户虽删，但攻击者仍可通过 cached logon 自动重连。
验证账户是否真正消失
重启电脑 → 进入登录界面 → 观察是否还显示该账户名；
再次以管理员身份打开终端 → 执行 net user → 确认输出中已无 admin$ 行；
进入“计算机管理→本地用户和组→用户”，刷新后列表中也不应出现该账户。
若任一环节仍存在，说明有守护进程正在写入注册表或调用 net user /add，需立即使用 Process Explorer 查看 svchost.exe 或 lsass.exe 的子进程，并扫描磁盘根目录下的 autorun.inf、~$tmp.bat 类可疑脚本。
