smtimesiwndr/gdid-reversal
Análise de engenharia reversa do Identificador Global de Dispositivo (GDID) da Microsoft, revelando sua geração como um MSA Device PUID atribuído pelo servidor, armazenamento no registro e transmissão via Plataforma de Dispositivos Conectados, com metodologia forense reproduzível.
-8a2be2){kind=icon}
-0078d6){kind=icon}
Como o "Identificador Global de Dispositivo" da Microsoft, a impressão digital persistente do Windows mencionada na queixa de julho de 2026 contra o Scattered Spider, é realmente gerada, armazenada e transmitida.
[!NOTE] O que está listado abaixo é verdadeiro, mas faltam algumas informações. Independentemente de estar logado com uma MSA, você TERÁ um GDID. Não percebi isso no momento da postagem, mas investiguei. O CDP tem um caminho de dispositivo anônimo que é usado se nenhuma MSA foi conectada. O sistema subjacente ainda está factualmente correto, apenas faltam algumas coisas.
Global Device Identifier g:6755467234350028.g:<decimal>.wlidsvc (serviço de Conta Microsoft) provisiona o dispositivo com login.live.com e recebe de volta um device PUID -> armazena no registro -> a Plataforma de Dispositivos Conectados (cdp.dll / CDPSvc) lê e o registra no gráfico do Device Directory Service (DDS) -> Delivery Optimization o reporta como o documentado UCDOStatus.GlobalDeviceId.[!NOTE] Rotulagem de confiança. Cada alegação é etiquetada para que você mesmo possa avaliá-la:
[COURT]fato de fonte primária,[OBSERVED]reproduzido ao vivo na minha máquina de teste,[STATIC]comprovado a partir de binários e PDBs públicos do Windows,[ASSESSED]forte inferência a partir das evidências.
wlidsvc)Em 1º de julho de 2026, o DOJ tornou pública uma queixa criminal contra Peter Stokes, um suposto membro do Scattered Spider (também conhecido como Octo Tempest / UNC3944 / 0ktapus). A declaração descreve como a Microsoft ajudou o FBI a atribuir atividade a um dispositivo.
[!IMPORTANT]
[COURT]Da queixa substituta (¶25, p.34), na íntegra:"a conta ngrok foi configurada através do Global Device Identifier g:6755467234350028 ('o GDID'). De acordo com um representante da Microsoft, um Global Device Identifier no ecossistema Windows é um identificador persistente, em nível de dispositivo, projetado para identificar exclusivamente uma instalação de um sistema operacional Windows em um dispositivo... Um GDID é um identificador globalmente único vinculado à instalação do Windows em um dispositivo. Um GDID permanece consistente em todas as atualizações do sistema operacional Windows em um dispositivo, mas uma reinstalação do Windows... será vinculada a um novo GDID único. "
Uma nota de rodapé acrescenta que um único usuário da Microsoft pode ter múltiplos GDIDs. A declaração então correlaciona o histórico de IP e navegação do GDID (por exemplo, empirehotelnyc.com, uma URL de login do Growtopia/Ubisoft) com as contas nas quais o suspeito estava logado.
Duas coisas aqui sustentam o restante desta análise:
g: mais um inteiro decimal (g:6755467234350028). Em hexadecimal, isso é 0x0018000FC8CB93CC, portanto um número de 64 bits.O resumo das redes sociais alegava que o GDID é "um identificador de 128 bits gerado a partir de números de série na instalação." Ambas as partes são falsas:
| Alegação (redes sociais) | Realidade (fonte primária) |
|---|---|
| "128 bits" | O valor na queixa é g:6755467234350028, um decimal que cabe em 64 bits (0x0018000FC8CB93CC). |
| "gerado a partir de números de série na instalação" | A queixa diz que uma reinstalação produz um novo GDID. Um valor derivado de seriais fixos retornaria o mesmo após uma reinstalação, não mudaria. |
[!NOTE] Após mais algumas análises reversas do CDP. Forneci algumas informações incorretas. Usar uma conta local não impede um GDID. O CDP tem um caminho de dispositivo anônimo que é utilizado se nenhuma conta Microsoft estiver presente. Tenha isso em mente ao ler.
[STATIC] Os documentos públicos do Azure Monitor da Microsoft definem uma coluna GlobalDeviceId na tabela UCDOStatus (Update Compliance / Delivery Optimization):
GlobalDeviceId(string): "Identificador global de dispositivo Microsoft. Este é um identificador usado internamente pela Microsoft."
Ele fica ao lado de LastCensusSeenTime, ISP, City, Country, portanto um ID de dispositivo alinhado com dados geográficos e IP. Este é o único lugar onde a Microsoft nomeia o valor em documentos públicos. Mas o Delivery Optimization apenas reporta o valor. Importante: ele não o possui. Siga rio acima e você chega na Connected Devices Platform.
[STATIC] C:\Windows\System32\cdp.dll (a Connected Devices Platform, serviços CDPSvc + CDPUserSvc) contém o símbolo GlobalDeviceId e um subsistema completo de registro no Device Directory Service:
ddsregistrationclient.cpp ddsregistrationmanager.cpp ddsregistrationinfo.cpp
DdsRegistrationClient RegisterUserDevicesObserver DdsRegistrationInfoProviderForCDP
endpoints: dds.microsoft.com fd.dds.microsoft.com aad.cs.dds.microsoft.com cdpcs.access.microsoft.com
formato string device-id: "g:%s"
DDS = Device Directory Service, o gráfico de identidade entre dispositivos da Microsoft (o backend por trás do Phone Link, área de transferência na nuvem, "Continuar no PC", Compartilhamento por proximidade). O CDP é o cliente Windows que registra a instalação nesse gráfico, onde ela é chaveada como g:<decimal>.
[OBSERVED] Forçando um registro novo (reiniciar CDPSvc com seu estado local limpo) e capturando os próprios provedores ETW do CDP produziu todo o handshake: