smtimesiwndr/gdid-reversal
Análisis de ingeniería inversa del Identificador Global de Dispositivo (GDID) de Microsoft, revelando su generación como un MSA Device PUID asignado por el servidor, almacenamiento en el registro y transmisión a través de la Plataforma de Dispositivos Conectados, con metodología forense reproducible.
-8a2be2){kind=icon}
-0078d6){kind=icon}
Cómo se genera, almacena y transmite realmente el "Identificador Global de Dispositivo" de Microsoft, la huella persistente de Windows mencionada en la denuncia de julio de 2026 contra Scattered Spider.
[!NOTE] Lo que se enumera a continuación es cierto, pero falta información. Independientemente de si se ha iniciado sesión con una MSA, TENDRÁS un GDID. No me di cuenta de esto al momento de publicar, pero lo investigué. CDP tiene una ruta de dispositivo anónima que se utiliza si no se ha conectado una MSA. El sistema subyacente sigue siendo factualmente correcto, solo faltan algunas cosas.
Global Device Identifier g:6755467234350028.g:<decimal>.wlidsvc (servicio de cuenta Microsoft) aprovisiona el dispositivo con login.live.com y recibe un PUID de dispositivo -> lo almacena en el registro -> la Plataforma de Dispositivos Conectados (cdp.dll / CDPSvc) lo lee y lo registra en el gráfico del Servicio de Directorio de Dispositivos (DDS) -> Delivery Optimization lo reporta como el documentado UCDOStatus.GlobalDeviceId.[!NOTE] Etiquetado de confianza. Cada afirmación está etiquetada para que puedas evaluarlas por tu cuenta:
[COURT]hecho de fuente primaria,[OBSERVED]reproducido en vivo en mi máquina de prueba,[STATIC]probado a partir de binarios y PDB públicos de Windows,[ASSESSED]inferencia sólida a partir de la evidencia.
wlidsvc)El 1 de julio de 2026, el DOJ desveló una denuncia penal contra Peter Stokes, un presunto miembro de Scattered Spider (también conocido como Octo Tempest / UNC3944 / 0ktapus). La declaración describe cómo Microsoft ayudó al FBI a atribuir actividad a un dispositivo.
[!IMPORTANT]
[COURT]De la denuncia sustitutoria (¶25, p.34), textualmente:"la cuenta de ngrok se configuró a través del Identificador Global de Dispositivo g:6755467234350028 ('el GDID'). Según un representante de Microsoft, un Identificador Global de Dispositivo en el ecosistema de Windows es un identificador persistente a nivel de dispositivo diseñado para identificar de forma única una instalación de un sistema operativo Windows en un dispositivo... Un GDID es un identificador único global vinculado a la instalación de Windows en un dispositivo. Un GDID permanece constante a través de las actualizaciones del sistema operativo Windows en un dispositivo, pero una reinstalación de Windows... estará vinculada a un nuevo GDID único."
Una nota al pie añade que un usuario de Microsoft puede tener múltiples GDID. La declaración luego correlaciona el historial de IP y navegación del GDID (p. ej., empirehotelnyc.com, una URL de inicio de sesión de Growtopia/Ubisoft) con las cuentas en las que el sospechoso había iniciado sesión.
Dos cosas aquí sustentan el resto de este análisis:
g: más un entero decimal (g:6755467234350028). En hexadecimal es 0x0018000FC8CB93CC, por lo que es un número de 64 bits.El resumen de redes sociales afirmaba que el GDID es "un identificador de 128 bits generado a partir de números de serie en la instalación." Ambas mitades son falsas:
| Afirmación (redes sociales) | Realidad (fuente primaria) |
|---|---|
| "128 bits" | El valor en la denuncia es g:6755467234350028, un decimal que cabe en 64 bits (0x0018000FC8CB93CC). |
| "generado a partir de números de serie en la instalación" | La denuncia dice que una reinstalación produce un nuevo GDID. Un valor derivado de seriales fijos volvería igual después de una reinstalación, no cambiaría. |
[!NOTE] Después de más ingeniería inversa de CDP. Proporcioné información errónea. Usar una cuenta local no impide un GDID. CDP tiene una ruta de dispositivo anónima que se toma si no hay cuenta Microsoft. Ten esto en cuenta al leer.
[STATIC] Los documentos públicos de Azure Monitor de Microsoft definen una columna GlobalDeviceId en la tabla UCDOStatus (Update Compliance / Delivery Optimization):
GlobalDeviceId(string): "Identificador global de dispositivo de Microsoft. Este es un identificador utilizado internamente por Microsoft."
Se encuentra justo al lado de LastCensusSeenTime, ISP, City, Country, por lo que un ID de dispositivo alineado con geo e IP. Este es el único lugar donde Microsoft nombra el valor en documentos públicos. Pero Delivery Optimization solo lo reporta. Es importante destacar que NO es su propietario. Síguelo aguas arriba y llegarás a la Plataforma de Dispositivos Conectados.
[STATIC] C:\Windows\System32\cdp.dll (la Plataforma de Dispositivos Conectados, servicios CDPSvc + CDPUserSvc) contiene el símbolo GlobalDeviceId y un subsistema completo de registro del Servicio de Directorio de Dispositivos:
ddsregistrationclient.cpp ddsregistrationmanager.cpp ddsregistrationinfo.cpp
DdsRegistrationClient RegisterUserDevicesObserver DdsRegistrationInfoProviderForCDP
endpoints: dds.microsoft.com fd.dds.microsoft.com aad.cs.dds.microsoft.com cdpcs.access.microsoft.com
device-id format string: "g:%s"