Czy Windows 11 faktycznie nas szpieguje? Zagadka rozwiązana

Wystarczy, że ktoś w Windowsie odkryje nową usługę, nowy proces albo nowy wpis w rejestrze, a Reddit i X natychmiast zaczynają żyć własnym życiem. W sierpniu użytkownicy zauważyli w systemie usługę o nazwie Windows Health and Optimized Experiences Service (whesvc). Nazwa brzmi jak coś, co mogłoby monitorować kondycję komputera, ale równie dobrze mogłaby być przykrywką dla kolejnego modułu telemetrii. Internet oczywiście wybrał tę drugą opcję.

W sieci zaczęły krążyć oskarżenia, że Microsoft potajemnie zbiera szczegółowe dane o wydajności komputera, temperaturach, stanie baterii, a nawet o plikach i procesach. Co więcej, miało to się odbywać w cyklu piętnastominutowym, jak w zegarku. Brzmiało to jak materiał na viralowy post: „Windows 11 szpieguje cię co 15 minut”. I jak to zwykle bywa: zanim ktokolwiek sprawdził fakty to historia zdążyła już obiec pół Internetu.

Czytaj też:

Na szczęście znalazł się ktoś, kto zamiast powtarzać sensacyjne nagłówki postanowił sprawdzić, co właściwie robi ta tajemnicza usługa. Programista Xusheng Li rozebrał whesvc na czynniki pierwsze, analizując jej kod, moduły i zachowanie.

Wnioski okazały się zaskakujące. Usługa nie jest prostym procesem monitorującym temperaturę CPU. To sandboxowany interpreter Lua 5.4.7, działający z uprawnieniami LocalSystem, wyposażony w kilkadziesiąt skompilowanych modułów i zestaw natywnych funkcji, które pozwalają mu zaglądać w różne zakamarki Windowsa. W praktyce oznacza to, że Microsoft stworzył w systemie coś na kształt miniaturowego środowiska skryptowego, które może wykonywać zadania diagnostyczne bez konieczności wypuszczania nowych aktualizacji systemu. To potężne narzędzie, ale nie oznacza to automatycznie, że mamy do czynienia ze spyware.

Li potwierdził, że usługa działa w cyklu piętnastominutowym. Co każde 900 sekund powstaje lokalny plik JSON z podsumowaniem diagnostycznym oraz emitowany jest jeden niewielki event telemetryczny. I to wszystko. Nie ma żadnych połączeń wychodzących, żadnych uploadów, żadnych ukrytych socketów. Jedyny URL w całym kodzie prowadzi do publicznego serwera Microsoftu i jest używany wyłącznie w trybie deweloperskim.

Bardziej zaawansowane monitorowanie - takie jak śledzenie ETW - uruchamia się tylko wtedy, gdy użytkownik ma włączoną telemetrię na poziomie „Opcjonalna”. To ustawienie, którego większość użytkowników nigdy nie dotyka, a które w Windowsie jest domyślnie wyłączone.

Najciekawsze w całej historii jest to, że Microsoft stworzył moduł diagnostyczny, który potrafi znacznie więcej, niż wynikałoby z jego oficjalnego opisu. Interpreter Lua w tym wydaniu może czytać i modyfikować rejestr, wykonywać operacje na plikach, tworzyć procesy, pobierać informacje o zasilaniu i temperaturach, zbierać ślady ETW, tworzyć archiwa CAB, wykonywać zapytania WMI, a nawet wysyłać żądania HTTP. To zestaw narzędzi, który w niepowołanych rękach byłby niebezpieczny.

Jednocześnie analiza Li pokazuje, że Microsoft nie korzysta z tych możliwości w sposób, który przypominałby szpiegowanie. Skrypty używane przez whesvc wykonują głównie rutynowe zadania diagnostyczne: sprawdzają stan sterowników, monitorują stabilność systemu, utrzymują liczniki i reagują na sytuacje, w których Windows zaczyna działać gorzej niż powinien. To raczej cyfrowy lekarz pierwszego kontaktu niż tajny agent.

Usługa nie szpieguje, ale nie jest też wolna od problemów. Li zwraca uwagę, że sandbox nie jest skuteczną granicą bezpieczeństwa, a skrypty mają nieograniczony dostęp do systemu plików. Co gorsza, moduły Lua nie są podpisane, co oznacza, że w teorii można je podmienić. To nie jest czysto teoretyczny problem - w przeszłości doprowadziło to do powstania podatności CVE-2025-59241, która umożliwiała lokalne podniesienie uprawnień i miała ocenę CVSS na poziomie 7.8.

To poważny sygnał ostrzegawczy. Narzędzie działające jako SYSTEM, które może wykonywać skrypty o szerokich uprawnieniach, musi być absolutnie szczelne. Każda luka może stać się wygodnym wehikułem dla atakującego.

Dlaczego Microsoft stworzył coś tak rozbudowanego? To pytanie przewija się przez całą dyskusję. Oficjalnie whesvc ma „monitorować urządzenie dla lepszego doświadczenia użytkownika”. W praktyce wygląda na to, że Microsoft chciał mieć w systemie uniwersalny, skryptowalny moduł diagnostyczny, który można łatwo rozszerzać bez wypuszczania nowych wersji Windowsa. To trochę jak wbudowany mini-Powershell, ale działający automatycznie i głęboko w tle. Czy to dobry pomysł? Zależy, kogo zapytamy. Dla inżynierów Microsoftu - zapewne tak. Dla użytkowników, którzy nie lubią, gdy system robi coś po cichu - już mniej.

Czyli stworzył narzędzie, które ma pomagać, ale ukrył je głęboko w systemie, nie wyjaśnił jasno, co robi, a potem pozwolił, by Internet sam dopisał historię o szpiegowaniu. Gdyby Microsoft od początku komunikował, że Windows ma nowy moduł diagnostyczny oparty na Lua, który działa tylko lokalnie, to nikt nie zrobiłby z tego afery.

Whesvc nie jest więc spyware’em. Ale jest narzędziem, które ma zaskakująco szerokie możliwości i które wymaga wyjątkowej dbałości o bezpieczeństwo. To nie jest złośliwe oprogramowanie, ale jest to element systemu, który powinien być lepiej opisany i lepiej komunikowany. Bo w świecie, w którym Windows 11 i tak ma opinię systemu lubiącego telemetrię każda niejasność staje się paliwem dla kolejnej internetowej burzy.

*Zdjęcie otwierające: Ham patipak / Shutterstock