Windows 11 et le service whesvc : que cachent réellement les rumeurs de logiciels espions

Le débat intervient à un moment où les performances de Windows 11 accumulent les critiques depuis des mois, ce qui explique la rapidité avec laquelle l'alarme initiale s'est répandue parmi les utilisateurs. Pour comprendre ce qui se passe sous le capot, regardons comment fonctionne ce service, connu en interne sous le nom de whesvc. Comme l'expliquait à l'époque l'ingénieur Microsoft Scott Hanselman, sa fonction est de capturer des diagnostics de performances spécifiques lorsque le système détecte un comportement lent. Ces traces sont enregistrées localement et ne sont envoyées que si l'utilisateur décide de les partager via le Centre de commentaires. L'analyse de Li confirme cette explication, même si elle révèle une architecture beaucoup plus sophistiquée que ne le suggère sa description officielle.

Un moteur de diagnostic avec des autorisations élevées

Le service lui-même prend peu de place, mais la fonctionnalité correspondante réside dans windiag.dllun fichier qui intègre le langage de script Lua 5.4.7. Parallèlement, Microsoft distribue whesvc_assets.dll, qui contient 84 scripts compilés responsable de la gestion de différents scénarios de diagnostic. Ce qui est frappant, c'est que le moteur expose 79 fonctions natives, ce qui donne accès à ces scripts à des capacités très larges : lire et modifier le registre Windows, effectuer des opérations sur des fichiers, créer des processus, interroger WMI ou collecter des traces ETW. Ils peuvent également télécharger des symboles, générer des fichiers .cab et, en théorie, effectuer des requêtes HTTP.

Sur le papier, cette architecture est excessive pour un simple outil de diagnostic de performances, et cela a alimenté les soupçons de beaucoup d'entre vous, notamment de ceux qui surveillent de près leur vie privée. Le moteur intègre également une interface de fonctions externe qui lui permet d'interagir avec les DLL natives et différents pilotes Windows. Ce n'est pas parce que le système possède ces capacités que Microsoft les utilise pour manipuler des fichiers aléatoires ou modifier des entrées de registre à l'insu de l'utilisateur.

Scripts limités aux tâches de diagnostic

Malgré des outils de haut niveau, les scripts distribués par Microsoft évoluent dans une marge très spécifique, axée sur la résolution de problèmes de performances. Les fonctions de journalisation sont principalement utilisées pour maintenir les propres compteurs du service entre les redémarrages. Le module d'information du conducteur peut modifier la configuration du Vérificateur de pilotes Windowsbien que cette action soit limitée à une variable d'environnement spécifique qui active la fonctionnalité de surveillance de la mémoire.

D'autres scripts lancent des outils natifs comme powercfg.exe pour générer des rapports d'étude du sommeil, ou wpr.exe pour fusionner les traces de performances. Le module fuite_poignée_mémoirepar exemple, suit le nombre de mémoires et de descripteurs sur plusieurs intervalles et combine des augmentations consécutives avec une pente de régression linéaire pour distinguer une fuite de mémoire réelle d'une croissance normale du système. Par conséquent, ces tâches confirment que le logiciel se concentre sur la détection des goulots d’étranglement et non sur la collecte de données personnelles.

Le moteur peut capturer des traces lorsqu'une application cesse de répondre, mesurer les délais d'entrée ou identifier les services bloqués en attente. Il étudie également l'épuisement excessif de la batterie et détermine ce qui a empêché l'ordinateur de se mettre en veille. Le module résumé_système génère ce résumé JSON tous les 900 secondesc'est-à-dire toutes les quinze minutes, comme parlaient les premières rumeurs, mais l'analyse technique confirme que ce fichier est enregistré localement et n'est pas automatiquement téléchargé sur les serveurs Microsoft.