Windows 11 ma tajemniczą usługę działającą w tle. Inżynier sprawdził, czy Microsoft szpieguje

Przez internet przetoczyła się fala ostrzeżeń dotyczących usługi Windows Health and Optimized Experiences. Użytkownicy zaczęli podejrzewać, że Microsoft stworzył mechanizm, który regularnie zbiera informacje o komputerze i wysyła je na serwery firmy. Teraz inżynier specjalizujący się w inżynierii wstecznej dokładnie przeanalizował działanie usługi.

Wyniki są znacznie bardziej interesujące niż proste „tak” lub „nie”. Mechanizm Microsoftu rzeczywiście ma bardzo szerokie możliwości i działa z wysokimi uprawnieniami systemowymi. Dostarczone przez firmę skrypty wskazują jednak przede wszystkim na diagnostykę problemów z wydajnością, a nie na ukryte narzędzie do szpiegowania użytkowników.

Podejrzana usługa zwróciła uwagę internautów

Kontrowersje dotyczą procesu whesvc, który odpowiada za działanie usługi Windows Health and Optimized Experiences. Jej obecność stała się szerzej zauważalna po publikacji informacji sugerujących, że Windows może monitorować parametry komputera, między innymi obciążenie procesora, temperaturę czy stan baterii.

Szczególnie niepokojąco zabrzmiała informacja o 15-minutowych okresach zbierania danych. W naturalny sposób pojawiło się pytanie, czy Microsoft stworzył kolejny mechanizm telemetryczny, który działa w tle bez wiedzy użytkownika.

Do sprawy postanowił podejść Xusheng Li, inżynier zajmujący się analizą oprogramowania i inżynierią wsteczną. Zamiast opierać się na nazwie usługi czy internetowych interpretacjach, zajrzał bezpośrednio do jej komponentów i skryptów dostarczanych przez Microsoft.

Rezultat jest ciekawy także z innego powodu. whesvc okazuje się niewielkim elementem całego systemu. Najważniejsza część mechanizmu znajduje się w bibliotece windiag.dll.

Usługa diagnostyki systemu Windows jest zaawansowana, ale wydaje się, że jej celem jest rozwiązywanie problemów z wydajnością, a nie szpiegowanie użytkownika.

Microsoft ukrył w środku interpreter Lua

Analiza wykazała, że windiag.dll zawiera interpreter Lua 5.4.7. Microsoft dołącza do usługi również bibliotekę whesvc_assets.dll, w której znajduje się 84 skompilowane skrypty Lua przeznaczone do różnych scenariuszy diagnostycznych.

Sam fakt wykorzystania języka skryptowego nie jest niczym niezwykłym. Zaskakujący jest jednak zakres funkcji udostępnionych skryptom.

Li naliczył 79 natywnych funkcji, za pomocą których kod Lua może korzystać z rozmaitych mechanizmów Windows. Usługa potrafi między innymi odczytywać i modyfikować rejestr, wykonywać operacje na plikach, tworzyć procesy, komunikować się z WMI oraz zbierać ślady ETW.

Na tym możliwości się nie kończą. Mechanizm może pobierać informacje dotyczące zasilania i temperatury, analizować tokeny bezpieczeństwa, tworzyć pliki CAB, korzystać z bibliotek DLL, a także wykonywać żądania HTTP.

Brzmi to jak zestaw uprawnień zdecydowanie większy niż potrzeby prostego monitora wydajności. I właśnie tutaj pojawia się najważniejsza część analizy.

Potężne możliwości nie są dowodem na szpiegowanie

To, że mechanizm ma możliwość wykonywania operacji na plikach, rejestrze czy procesach, nie oznacza jeszcze, że Microsoft wykorzystuje go do monitorowania prywatnych danych.

Li przeanalizował również same skrypty dostarczane przez firmę. Ich działanie wskazuje przede wszystkim na diagnostykę problemów, z którymi użytkownicy mogą zetknąć się podczas korzystania z Windows 11.

Usługa potrafi między innymi rejestrować sytuacje, w których aplikacja przestaje odpowiadać, badać opóźnienia związane z wprowadzaniem danych, analizować problemy z wyświetlaniem oraz szukać programów uruchamiających się wyjątkowo długo.

Osobne moduły zajmują się zarządzaniem energią. Windows może dzięki nim sprawdzać przyczyny wysokiego zużycia baterii, analizować sytuacje uniemożliwiające przejście komputera w tryb uśpienia oraz badać długotrwałe obciążenie energetyczne.

Jeden z ciekawszych przykładów dotyczy wycieków pamięci. Moduł memory_handle_leak obserwuje liczbę zajętych zasobów w kolejnych odstępach czasu i wykorzystuje analizę trendu do wykrywania potencjalnych wycieków.

To już nie jest prosty licznik wydajności. Microsoft stworzył rozbudowany system, który potrafi zebrać szczegółowy obraz problemu występującego na konkretnym komputerze.

Windows potrafi przygotować 15-minutowy raport

Jednym z elementów, które przyczyniły się do internetowych podejrzeń, jest moduł system_summary. Nazwa może brzmieć niepozornie, ale jego zadanie jest dość konkretne. Moduł tworzy podsumowanie systemu w formacie JSON obejmujące okres sięgający 900 sekund, czyli 15 minut.

Kluczowa informacja z analizy Li jest jednak taka, że raport pozostaje lokalnie na komputerze. Sam fakt jego wygenerowania nie jest równoznaczny z automatycznym przesłaniem danych do Microsoftu.

To istotne rozróżnienie. Windows może przez pewien czas obserwować zachowanie systemu, zapisać odpowiednie dane diagnostyczne i wykorzystać je później do przygotowania raportu. Nie znaleziono jednak dowodu na automatyczne wysyłanie takich informacji do Microsoftu co kwadrans.

A co z połączeniami z internetem?

To właśnie ten element mógłby najbardziej zmienić ocenę całej usługi. Mechanizm ma bowiem funkcje pozwalające wykonywać żądania HTTP. Sama obecność takiej możliwości nie wystarczy jednak, aby uznać usługę za narzędzie do przesyłania danych telemetrycznych. Li przeanalizował wszystkie 84 skrypty i nie znalazł scenariusza, który wykorzystywałby tę funkcję do wysyłania zgromadzonych informacji.

Jedyny zidentyfikowany adres URL prowadzi do publicznego serwera symboli Microsoftu. Według analizy ta funkcja jest dodatkowo wyłączona w standardowych detalicznych instalacjach Windows.

To jeden z najmocniejszych argumentów przeciwko teorii, według której whesvc potajemnie wysyła dane o wydajności komputera do Microsoftu.

Usługa działa jednak z bardzo dużymi uprawnieniami

Nie oznacza to, że analiza Li całkowicie usuwa powody do ostrożności. Mechanizm diagnostyczny działa jako SYSTEM, czyli z jednym z najwyższych poziomów uprawnień dostępnych w Windows. Jego środowisko skryptowe może korzystać z funkcji pozwalających na operacje na plikach, rejestrze, procesach czy bibliotekach systemowych.

W praktyce daje to Microsoftowi niezwykle elastyczne narzędzie diagnostyczne. Dostarczone skrypty wykorzystują te możliwości w konkretnych celach, ale sam silnik jest znacznie bardziej uniwersalny.

To ważna różnica. Analiza nie wykazała, aby Microsoft używał whesvc do potajemnego nagrywania ekranu, kopiowania prywatnych plików czy automatycznego przesyłania raportów na serwery firmy. Jednocześnie architektura usługi pozwala na wykonywanie znacznie większej liczby operacji, niż można by oczekiwać po komponencie zajmującym się wyłącznie wydajnością.

Microsoft nie stworzył tu klasycznego spyware

Najważniejszy wniosek z przeprowadzonego reverse engineeringu jest więc mniej sensacyjny, ale znacznie bardziej precyzyjny.

whesvc wygląda na zaawansowaną platformę diagnostyczną dla Windows 11. Microsoft wykorzystuje ją do wykrywania problemów z aplikacjami, pamięcią, energią, uśpieniem komputera, opóźnieniami czy wydajnością systemu.

Nie znaleziono dowodów potwierdzających tezę, że usługa automatycznie przesyła takie informacje do Microsoftu w regularnych odstępach. Nie odkryto również mechanizmu potajemnego nagrywania ekranu.

Nie oznacza to jednak, że użytkownicy nie mają powodów, by pytać o sposób działania takich komponentów. Problemem pozostaje przede wszystkim przejrzystość. Usługa pracująca z uprawnieniami SYSTEM, wyposażona w interpreter Lua i dziesiątki funkcji systemowych może budzić uzasadnione pytania, zwłaszcza jeśli jej obecność i sposób działania nie są dla przeciętnego użytkownika oczywiste.

Pełną analizę techniczną Xushenga Li można znaleźć na jego blogu poświęconym inżynierii wstecznej.