Sherlock's Hub: post #333 — TG.ME

יש לי הרבה פוסטים בתור שתכננתי לשלוח, אבל זה לא סובל דיחוי: מייקרוסופט הודתה בבית משפט 👨‍⚖️- מערכת הריגול (או טלמטריה לשיפור חווית משתמש 🤡) שלהם הרבה יותר מתקדמת ומתוחכמת ממה שחשבנו עד עכשיו. הרבה. 🚨 וזה פעם ראשונה שהסדר גודל של הדבר הזה נחשף. ➖➖➖➖➖➖➖➖➖ תקציר: ⭕️ פיטר סטוקס הוא נער בן 19 שחשוד כפעיל בקבוצת Scattered Spider, ועומד כרגע למשפט בארצות הברית אחרי שהוסגר לשם מפינלנד (#1). ⭕️ במשפט, בעדות של סוכן FBI שחקר את המקרה, מצויין שימוש במזהה ייחודי גלובלי, ה-GDID (רת של Global Device ID). ⭕️ נציג של מייקרוסופט מרחיב על הפיצ'ר: מזהה גלובלי לשימוש פנימי של מייקרוסופט המותקן על כל מערכת הפעלה (פיזית או וירטואלית) ונשאר זהה לאורך עדכונים. ⭕️ מייקרוסופט הראתה שיש לה מידע על כל מכשיר ווינדוס (לפי GDID) לאלו אתרים או כתובות IP ניגש, מתי, ועוד (זה כמובן בנוסף למידע שהיינו מצפים כמו חשבונות שמקושרים לרשיון, וטלמנטרי אחר), ככל הנראה בלי קשר לאיזה דפדפן השתמש הנאשם. ⭕️ המידע שמייקרוסופט סיפקה שימש בסופו של כדי לקשר בין הנאשם, המחשב שלו, היצירה של מנהרת Ngrok שהייתה באחת המתקפות, גישה לסנאפצ'אט, שירות VPN, פייסבוק, ועוד שיט שבסוף הכל הגיע אליו. ➖➖➖➖➖➖➖➖➖ מה אנחנו יודעים על ה GDID? יש מקום אחד (#2) בMSDN שבו המזהה הזה מופיע, והוא מתואר בלא יותר מ: GlobalDeviceId string Microsoft global device identifier. This is a identifier used by Microsoft internally. בנוסף, איזשהו בחור תהה על קנקנו של המזהה הזה כשראה אותו בלוגים (#3) ומצא את המקור שלו ברג'יסטרי: While working with Azure AD, Intune, Autopilot, Log analytics, etc., I’m sure you’ve come across an ID that looks like this: [GID]:g:1234567891234567. Have you ever wondered where that comes from? It’s a decimal representation of this registry value: HKEY_USERS\.DEFAULT\Software\Microsoft\IdentityCRL\ExtendedProperties, REG_SZ, LID וזהו. אין שום תיעוד רשמי של הדבר הזה... עד שהגיע המשפט ומייקרוסופט, שעזרו לFBI בחקירה, היו צריכים לתת קצת פרטים לפרוטוקול (#4). אספתי לכם כמה ציטוטים נבחרים כדי להבין במה מדובר: According to a Microsoft representative, a Global Device Identifier in the Windows ecosystem is a persistent, device-level identifier designed to uniquely identify an installation of a Windows operating system on a device, either a physical device (e.g., a mobile phone or laptop) or virtual machine[...]. According to Microsoft records, on or about May 12, 2025, at 19:21 UTC [...] the device with the GDID accessed, among other ngrok pages, “https://dashboard.ngrok.com/signup," Microsoft records also indicate: (1) the user of the device assigned the GDID accessed multiple sites from Tzulo servers in May 2025, including the .168 server; and [...] a little more than three hours after the ngrok account was created, the user visited “[Company F].com” from the .168 proxy server. 🍎 שימו לב - מייקרוסופט בשום מקום לא ציינה דפדפן או Edge - כלומר (למיטב הבנתי), הטלמטריה שהיא אוספת היא ברמת מערכת ההפעלה עצמה, בלי תלות באיזה דפדפן אתם משתמשים או כמה הוא מכבד את הפרטיות שלכם. 🍊 טלמטריה מספיק טובה כדי לראות את הURL-ים וכתובות IP שאתם ניגשים אליהם, ובגלל שהם מקבלים את הטלמטריה הזאת מהמ"ה הפעלה עצמה, שימוש בVPN או TOR לא עוזר. זה מסתיר אתכם מהאתר עצמו, אבל מייקרוסופט תמיד יודעת 😇 🤫כמובן, אנחנו יודעים רק את המינימום ההכרחי שהיה דרוש למייקרוסופט כדי להוכיח את המקרה. ברור לי שיש להם עוד מידע שהם אוספרים ושאיננו יודעים עליו כרגע. ➖➖➖➖➖➖➖ אז מה אפשר לעשות ❓ הדבר הכי טוב שביכולתכם לעשות הוא, כמובן, לעבור ללינוקס 🐧 (לא ציפיתם שאני אגיד משהו אחר, נכון?). אבל, אם בכל זאת, אתם מוכרחים להישאר בווינדוס מאיזושהיא סיבה (עד היום לא פגשתי תירוץ מספיק טוב), יש מספר דברים שיכולים לשפר *מעט* את הפרטיות שלכם. למה אני מדגיש את *מעט*? כי בסוף, ההגדרות שאתם יכולים לשנות זה רק מה שמייקרוסופט נותנת לכם, ואם הם ירצו, תישאר טלמטריה וריגול שאתם לא יכולים לשנות. (בגלל חוסר מקום החלק הפרקטי יעבור לפוסט הבא 👇)