Ktoś uruchomił własny kod w zaplombowanym pokoju, w którym Windows trzyma wasze hasło

Windows 11 trzyma kilka sekretów w czymś, co przypomina zaplombowany pokój. Nazywa się to enklawą VBS: wycinek pamięci odgrodzony przez procesor tak, że nawet złośliwe oprogramowanie z pełnymi uprawnieniami administratora nie odczyta jego zawartości. Jedna z tych enklaw przechowuje zahaszowaną kopię waszego hasła do Windows, której Defender SmartScreen używa do rozszerzonej ochrony przed wyłudzaniem informacji, czyli funkcji odzywającej się, gdy wpiszecie to hasło na stronie internetowej albo wkleicie je do Notatnika.

13 października Adrian Denkiewicz z firmy bezpieczeństwa Doyensec opisał w całości, jak uruchomił tam własny kod. Komponent nazywa się SFAPE.dll, a wejście było niemal śmiesznie małe: dwukrotne wywołanie procedury inicjalizacji pozwoliło zapisać cztery stałe bajty pod dowolnie wybranym adresem. Z tego jednego oparcia zbudował odczyty pamięci, potem zapisy, złamał tablicę walidacji samej enklawy i ostatecznie wywoływał dowolne funkcje wewnątrz chronionego obszaru. Enklawę ładuje lsass.exe działający jako SYSTEM, więc stawka była realna.

Teraz część uspokajająca. Luka CVE-2026-83498 została naprawiona 8 września w KB5124008. Microsoft zmienił też zasady integralności kodu, tak by Windows odmawiał ładowania starszych, podatnych kopii pliku, zamykając oczywistą sztuczkę z cofnięciem wersji. Nikt nie widział tego w prawdziwym ataku i nie jest to coś, co dosięga was prosto z internetu. Zanim cokolwiek z tego zadziała, na komputerze musi już działać cudzy kod.

I o to właśnie chodzi. Takie badania stają się groźne dopiero na maszynach, które od miesięcy nie przyjmują aktualizacji. Wskaźnik kondycji w Tendvane zwraca uwagę na komputer, który po cichu został w tyle, a zwykle nikt tego nie zauważa, dopóki nie zacznie to mieć znaczenia.