Resumo:
Recentemente, o desempenho do Windows 11 continuou a ser criticado pelos usuários, e um serviço em segundo plano chamado "Windows Health and Optimized Experiences" também atraiu a atenção. Foi afirmado anteriormente que o serviço monitora informações do processador, temperatura e bateria e envia dados para a Microsoft a cada 15 minutos. A este respeito, o engenheiro reverso Xusheng Li analisou seu serviço principal whesvc e concluiu que o serviço possui permissões de sistema bastante extensas, mas os scripts existentes são usados principalmente para diagnóstico de desempenho e não foram encontrados sinais de upload automático de dados do usuário ou monitoramento de tela.
O engenheiro da Microsoft, Scott Hanselman, explicou anteriormente que o serviço está posicionado para coletar dados de diagnóstico de desempenho direcionados quando o Windows detecta atraso na execução ou resposta lenta. As informações de rastreamento relevantes serão salvas localmente primeiro e os usuários podem escolher se desejam enviá-las por meio da "Central de Feedback". A análise reversa de Xusheng Li basicamente confirma esta afirmação, mas também mostra que sua implementação subjacente é muito mais complexa do que os serviços comuns de diagnóstico de desempenho.
A análise mostra que o tamanho do corpo do serviço whesvc não é grande e as principais funções estão localizadas principalmente em windiag.dll. A biblioteca de vínculo dinâmico incorpora a linguagem de script Lua 5.4.7. A Microsoft também fornece whesvc_assets.dll com o sistema, que contém 84 scripts Lua compilados, cada um responsável por diferentes cenários de diagnóstico.
Xusheng Li descobriu que o mecanismo de script abria 79 funções nativas para scripts, com uma ampla gama de recursos que podem ser chamados. Isso inclui ler e modificar o registro do Windows, executar operações de arquivos, criar e controlar processos, consultar WMI (Windows Management Instrumentation), coletar dados ETW (Windows Event Tracing), verificar tokens de segurança, obter informações de energia e temperatura, baixar arquivos de símbolos, gerar pacotes compactados .cab e iniciar solicitações HTTP.
Além disso, esse mecanismo inclui uma interface de função externa comum (FFI), que permite que os scripts interajam com DLLs nativas e diferentes identificadores do Windows. Apenas do ponto de vista das capacidades, as permissões deste mecanismo subjacente estão de fato muito além do que é necessário para o diagnóstico de desempenho comum, o que pode facilmente fazer com que os usuários se preocupem com a privacidade e o controle do sistema.
No entanto, ser poderoso não significa ser usado para fins inadequados. Os resultados da engenharia reversa mostram que a maioria dos scripts fornecidos pela Microsoft com o sistema usa esses recursos apenas para tarefas de diagnóstico de rotina. Por exemplo, as funções relacionadas ao registro são usadas principalmente para salvar seus próprios contadores após a reinicialização do serviço; um módulo de informações de driver pode modificar as configurações do Windows Driver Verifier, mas esta função precisa ser acionada por variáveis de ambiente específicas e atende ao processo de monitoramento de memória. Os pesquisadores acreditam que esta pode ser uma das operações mais invasivas do whesvc em uso prático.
Alguns scripts também chamam ferramentas próprias da Microsoft. Por exemplo, um script iniciará powercfg.exe para gerar um relatório de sono do Estudo do Sono e outro caminho chamará wpr.exe para mesclar os registros de rastreamento de desempenho gerados pelo Windows Performance Recorder.
Em termos de recursos práticos de diagnóstico, o whesvc pode coletar informações de rastreamento quando um aplicativo deixa de responder, monitorar o atraso de entrada e exibir anomalias, identificar aplicativos que iniciam lentamente e detectar serviços do sistema que permanecem em estado de espera por um longo tempo. Seu módulo de energia pode ser usado para solucionar problemas de consumo anormal de energia, analisar fatores que impedem o computador de entrar no modo de suspensão e responder a problemas persistentes de consumo de energia.
Tome como exemplo o módulo memory_handle_leak, que é especialmente usado para solucionar problemas de vazamentos de memória. Ele rastreia contagens de memória e manipulação em vários intervalos de tempo e combina crescimento sequencial com inclinações de regressão linear para tentar distinguir possíveis vazamentos de memória do crescimento normal de recursos.
A controversa afirmação de “carregar dados a cada 15 minutos” também foi esclarecida nesta análise. O módulo system_summary gera um resumo do sistema JSON de 900 segundos ou 15 minutos, mas esses dados são salvos localmente por padrão. Apesar dos recursos de comunicação de rede do serviço, os pesquisadores não encontraram nenhum cenário de script que fizesse solicitações HTTP aleatórias; entre todos os 84 scripts, o único URL identificado apontava para o servidor de símbolos públicos da Microsoft, um recurso que está desabilitado em instalações regulares de varejo do Windows.
Portanto, Xusheng Li disse que procurou especificamente por possíveis comportamentos suspeitos, mas não encontrou nenhuma evidência de que o serviço gravaria secretamente a tela, nem descobriu que os dados de rastreamento de diagnóstico seriam carregados automaticamente para a Microsoft sem ação do usuário. A afirmação de que “o Windows 11 usa este serviço para monitorar secretamente os usuários” que se espalhou na Internet carece de base técnica correspondente.
No geral, o que a Microsoft criou para o Windows 11 é um mecanismo universal de diagnóstico de sistema que funciona com permissões SYSTEM e pode lidar com tarefas como registro, arquivos, processos e execução de código nativo. Seus recursos subjacentes são obviamente mais poderosos do que aqueles necessários para a solução de problemas de desempenho em si, mas os scripts atualmente fornecidos com o sistema ainda estão limitados ao escopo do diagnóstico de desempenho. Em outras palavras, o design de permissão do whesvc pode merecer atenção contínua, mas a análise existente não apóia sua caracterização direta como “spyware”.
Comentários