Новые данные по атаке на Polyfill[.]io: затронуты 380 тысяч хостов

Windows ведёт подробный учёт приложений, которые обращались к камере, микрофону, геолокации и другим возможностям компьютера. В настройках пользователю показывают лишь краткий список недавней активности, а самое интересное система складывает в реестр. Данные находятся в разделе ConsentStore.

Там можно узнать, какое приложение получало доступ к оборудованию, когда именно начался и закончился последний сеанс и сколько времени он продолжался.

Отдельно Windows записывает дату выдачи разрешения и его текущий статус — Allow или Deny.

Правда, просто открыть редактор реестра и почувствовать себя цифровым детективом не получится. Временные метки хранятся в формате FILETIME — в виде количества 100-наносекундных интервалов, прошедших с 1 января 1601 года.

Привести данные в человеческий вид позволяет скрипт PowerShell. Он проверяет разделы ConsentStore, преобразует временные метки и выводит таблицу с названием приложения, типом разрешения, временем последнего обращения и продолжительностью сеанса.

$root = "HKCU:\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore"
 $results = Get-ChildItem $root | ForEach-Object {
     $medium = $_.PSChildName
     Get-ChildItem $_.PSPath -Recurse | ForEach-Object {
         $props = Get-ItemProperty $_.PSPath -ErrorAction SilentlyContinue
         if ($props.LastUsedTimeStart -and $props.LastUsedTimeStop -and
 $props.LastUsedTimeStart -ne 0) {
             $start   =
 [datetime]::FromFileTimeUtc($props.LastUsedTimeStart).ToLocalTime()
             $stop    =
 [datetime]::FromFileTimeUtc($props.LastUsedTimeStop).ToLocalTime()
             $granted = if ($props.LastSetTime) {
                 [datetime]::FromFileTimeUtc($props.LastSetTime).ToLocalTime()
             } else {
                 $null
             }
             [PSCustomObject]@{
                 Medium              = $medium
                 App                 = $_.PSChildName
                 PermissionGrantedOn = $granted
                 LastUsedStart       = $start
                 LastUsedStop        = $stop
                 Duration            = $stop - $start
             }
         }
     }
 }

Для проверки системных разрешений потребуется изменить путь с HKCU на HKLM и запустить PowerShell от имени администратора.

У журнала есть важное ограничение: Windows сохраняет только последнее обращение каждого приложения, а не полную историю. Кроме того, дата выдачи разрешения не означает, что именно тогда программа впервые воспользовалась камерой или микрофоном.

Тем не менее проверка способна преподнести сюрпризы. Автор исходного материала, например, обнаружил, что EA Sports FC 26 использовала его микрофон около 40 минут, хотя он не помнил, чтобы разрешал игре это делать.

Если в списке нашлась подозрительная программа, ей можно запретить доступ к соответствующему компоненту или удалить её.