鉴证实录2

工程师分析 Win11 争议后台服务：用于性能诊断，含 84 个诊断脚本_我的网站

一 |      8 月 26 日消息，逆向工程师 Xusheng Li 于 8 月 15 日发布博文，深度分析了 Windows Health and Optimized Experiences 服务。    “12·3紧急戒严事件”43天后，尹锡悦终被逮捕。

二 | 曾于 8 月 3 日报道，微软为 Win11 系统新增上述后台服务，网友反馈该服务会在电脑每次开机时自启动，持续监控 CPU 使用率、温度和电池情况，并每隔 15 分钟将数据发给微软。微软副总裁斯科特 · 汉塞尔曼回应表示该功能上线于 2025 年，用途主要是采集性能诊断数据。据央视国际时讯报道，韩国高级公职人员犯罪调查处（公调处）宣布，当地时间1月15日上午10点33分，“内乱头目”尹锡悦被逮捕。这是韩国历史上首次逮捕现任总统。

三 | 逆向工程师 Xusheng Li 逆向该服务的 whesvc，其结果基本印证了微软的说明，但也发现其底层架构比普通性能诊断工具复杂得多。

四 | 被捕总统尹锡悦抵达公调处。

五 | whesvc 服务的核心功能位于 windiag.dll（229 KB），该动态链接库内嵌 Lua 5.4.7 脚本语言。图源央视新闻 另据报道，当地时间15日，尹锡悦发表了预先录制好的视频讲话。尹锡悦称：“为避免发生不光彩的流血事件，虽然是非法调查，但我决定先回应公调处的出席要求”，“但不代表承认公调处的调查。” 不过，据韩联社15日报道，位于韩国政府果川办公大楼的韩国高级公职人员犯罪调查处办公室附近停车场有人自焚身亡。据报道，公调处将在接下来的48小时内审讯尹锡悦。48小时后，他们要么放人，要么就再申请拘留令，延长对尹锡悦的拘留期限。目前，尹锡悦被关押在首尔拘留所。微软还提供 whesvc_assets.dll，其中包含 84 个已编译 Lua 脚本，用于处理不同诊断场景。脚本引擎公开了 79 个原生函数，可访问 Windows 的多类系统能力。鉴于其总统身份，拘留期间，尹锡悦可能被关在一个单独的房间，并在拘留所过夜。该服务可以读取和修改 Windows 注册表，执行文件操作，创建并交互进程，查询 WMI（Windows 管理规范），收集 ETW（Windows 事件跟踪）记录，检查安全令牌，获取电源和温度信息，下载符号文件，创建 .cab 文件，并发起 HTTP 请求。服务还提供通用 FFI（外部函数接口），允许脚本调用原生动态链接库，并操作多种 Windows 句柄。在拘留期间，尹锡悦将过上“早上6点半起床、晚上9点熄灯”的日子。被捕后接受问询超5小时拒绝回答任何问题据新华社消息，韩国高级公职人员犯罪调查处（公调处）15日对被捕总统尹锡悦展开讯问，韩国媒体当天晚些时候披露了讯问细节。

六 | 据韩国媒体报道，当地时间上午11时起，公调处在位于中央政府果川办公楼的办公室对尹锡悦进行讯问，首次讯问持续约2个半小时。不过，Li 没有发现微软利用这些能力随机修改文件或注册表，现有脚本主要执行常规诊断任务。经过一段时间休息，讯问于14时40分继续，持续至17时40分。报道说，鉴于调查时间可能较长，又涉及警卫安保等问题，公调处在讯问室对面为尹锡悦准备了休息室。据报道，公调处午餐提供盒饭，晚餐供应大酱汤。这些脚本可以在应用停止响应后采集跟踪记录，监控输入延迟和显示异常，识别启动缓慢的应用，并检测长期处于挂起状态的服务。晚餐结束后，公调处于19时继续对尹锡悦进行讯问。公调处表示，虽然原则上不能在21时至次日早6时之间进行讯问，但如果嫌疑人同意，也可以进行深夜讯问，公调处尚未决定是否进行深夜讯问。电源相关模块能够调查电池异常耗电，判断阻止电脑进入睡眠状态的原因，并响应持续的高功耗行为。在公调处讯问结束后，尹锡悦将被送往首尔拘留所过夜，移送时间和方式等尚未确定。报道说，尹锡悦对调查组的提问没有做出任何回答。

七 | memory_handle_leak 模块会在多个时间间隔内跟踪内存和句柄数量，再结合连续增长情况与线性回归斜率，区分潜在内存泄漏和正常增长。尹锡悦方面表示，公调处没有内乱罪调查权，逮捕令也是非法的，因此不接受调查。

八 | system_summary 模块会生成 900 秒、即 15 分钟的 JSON 摘要，但文件保存在本地。

九 | 尽管服务具备网络功能，Li 没有找到任何会实际发起任意 HTTP 请求的场景。尹锡悦方面还拒绝公调处在调查期间录音录像。距离被弹劾下台还有多远？据央视新闻，被停职的韩国总统尹锡悦15日被捕，随后被送至韩国高级公职人员犯罪调查处（公调处）接受调查。相关阅读：。针对韩国现任总统尹锡悦的逮捕，对韩国弹劾尹锡悦的进程有什么影响？中国社会科学院亚太与全球战略研究院研究员 董向荣：1月15日，尹锡悦总统接受韩国高级公职人员犯罪调查处的拘捕调查，可以被视为在去年12月3日戒严令颁布并很快被国会驳回的情况后第三个重要的事件。第一个重要的事件是在2024年12月14日，韩国国会表决通过了对尹锡悦的弹劾案。第二个重要事件是在2024年12月31日代总统崔相穆通过了两名宪法法院法官的任命。这次尹锡悦总统到案接受调查，实际上是在多次传唤调查没有实现，甚至第一次拘捕没有实现的情况下，以一种相对和平的方式，迫使尹锡悦总统到韩国公调处办公楼来进行调查，所以这件事具有非常重要的意义。中国社会科学院亚太与全球战略研究院研究员 董向荣：也有人从这个角度称，这是韩国宪政史上第一次现任总统接受拘捕调查。韩国宪法法院已经宣布，在1月14日到2月4日之间，就总统弹劾案举行5次正式的辩论，这样的时间安排是非常紧凑的。

十 | 特别是在2025年4月18日，有两名宪法法院法官任期即将届满的情况下，可以预计在4月18日之前，宪法法院很有可能会给出基本的判决。中美日同日发声外交部发言人郭嘉昆1月15日主持例行记者会。

十一 | 有记者就韩国被停职总统尹锡悦于15日被捕一事提问。郭嘉昆表示，对于韩国内政我不作评论。

十二 | 中韩互为重要近邻和合作伙伴，中方愿同韩方一道共同推动两国关系健康稳定发展。据中新网，日本共同社报道，对此，日本官房长官林芳正在记者会上表示，正在密切关注，并强调日韩关系的重要性不变。据路透社报道，白宫国家安全委员会发言人在一份声明中回应称，美国仍致力于与韩国政府合作，并“赞赏韩国根据宪法行事的所有努力”。金建希疑似出门遛狗其硕士和博士学位可能被撤销据韩媒Oh my news电视台报道，15日上午，尹锡悦被捕后，一名疑似其夫人金建希的女子，在韩国总统官邸院内现身。该女子身穿白衣，带着数条狗遛弯。就在尹锡悦被捕当天，有报道称，尹锡悦的夫人金建希的博士学位可能被韩国国民大学撤销。本月7日，韩国淑明女子大学初步判定金建希的硕士论文系抄袭。韩国国民大学一名官员14日透露，如果淑明女子大学最终撤销了金建希的硕士学位，那么该校（国民大学）将考虑金建希所获博士学位的有效性。根据国民大学相关规定，如果金建希没有了硕士学位，那她将不再具备获得博士学位的资格。目前，暂不清楚尹锡悦此次被捕时其夫人金建希是否在场。不过，在“戒严令”风波后，尹锡悦及金建希一直保持低调，就连尹锡悦去年12月18日过64岁生日时，也只有夫妻两人和他们养的6只狗、5只猫。报道称，除了法律团队外，这对夫妇很少接待外来人员。编辑|段炼 杜恒峰校对|陈柯名每日经济新闻综合自新华社、央视新闻、中新网、红星新闻、新京报、海客新闻、公开资料等 每日经济新闻。

Current article:http://ofxq5.senbatuqiuzhuanlanrilao.sbs/list_aql/5n6.html

Published on:21:02:53