Win追踪器终结19岁黑客，800万勒索案告破~
8 小时前3 浏览
美国司法部于7月1日公开起诉书，宣布逮捕并起诉19岁的双重国籍黑客Peter Stokes。这位自称“Bouquet”的天才少年涉嫌参与知名黑客组织“Scattered Spider”，在2025年5月攻击一家美国奢侈珠宝零售商，窃取77GB数据并勒索800万美元加密货币。尽管全程使用ngrok隧道隐藏真实IP，最终却被Windows系统里一项隐藏功能出卖。
Stokes所属的Scattered Spider组织以社会工程学攻击闻名，专门冒充员工骗取IT服务台重置密码。2025年5月12日，他和同伙在两到三小时内拿到了三个账号权限，其中两个还是高权限IT管理员账号。当天19:21 UTC，攻击设备用同一GDID访问了ngrok注册页面，全程使用***（三个英文字母软件）代理。
GDID（全局设备标识符）是每套Windows安装时自动生成的唯一设备级标识，绑定了底层硬件特征。重装系统会分配新ID，但微软可通过同一账号、OneDrive和激活记录关联旧ID。FBI获得法院命令后，微软提供了遥测日志，包含Stokes个人Windows设备的完整GDID。FBI用这个GDID交叉比对了IP历史，追查到爱沙尼亚塔林、纽约、泰国等地的IP地址，关联到他的Apple、Snapchat、Facebook账号甚至Ubisoft游戏登录记录，并与美国国务院的旅行记录和他在豪华酒店发的炫富照片完全吻合。
Stokes于2026年4月10日在芬兰被捕，当时正试图登上飞往日本的航班，随身携带两块2TB硬盘。他于7月初被引渡回美国芝加哥受审，被指控共谋、计算机欺诈和电信欺诈等多项罪名。隐私服务商Proton公开批评Windows“实际上具有间谍软件的特性”，指出GDID从未获得用户明确同意。这起案件首次公开证实微软会向执法机构提供GDID遥测数据，对普通用户而言，目前没有任何公开的关闭GDID的方法。
由此可见，你使用的每一台Windows设备，都可能是一个永不关机的定位器，你觉得这合理吗？
