https://cyberveille.ch/tags/get-whfbkeys.ps1/ Recent content in Get-WHFBKeys.ps1 on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Tue, 27 Oct 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-10-27-whfb-pincapture-capture-du-pin-windows-hello-via-breakpoint-materiel-cpu-dans-logonui-exe/ Tue, 27 Oct 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-10-27-whfb-pincapture-capture-du-pin-windows-hello-via-breakpoint-materiel-cpu-dans-logonui-exe/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié en octobre 2026 sur GitHub (ivancabrera02/WHFB-PinCapture), ce dépôt présente une technique offensive permettant de capturer le PIN Windows Hello for Business (WHFB) sur des systèmes Windows 11 protégés par VBS/VSM et TPM, où les attaques hors ligne et le brute-force sont rendus inopérants.</p> <h2 id="-pourquoi-les-attaques-classiques-échouent">🛡️ Pourquoi les attaques classiques échouent</h2> <p>Le projet documente les protections en place qui rendent les attaques traditionnelles inefficaces :</p> <ul> <li><strong>VBS/VSM actif</strong> : la hiérarchie de clés réside en VTL1 (secure kernel), inaccessible depuis SYSTEM en VTL0</li> <li><strong>Conteneur NgcIso</strong> : le secret PIN est descellé à l&rsquo;intérieur du trustlet, pas en user mode normal</li> <li><strong>Matériel scellé par TPM</strong> : aucune clé en clair sur disque, le descellement nécessite le TPM</li> <li><strong>Anti-hammering</strong> : <code>softLockoutAttemptLimit = 5</code>, compteur enforced par VTL1, non réinitialisable depuis le disque</li> </ul> <h2 id="-technique-dattaque--hardware-breakpoint-capture">⚙️ Technique d&rsquo;attaque : hardware breakpoint capture</h2> <p>La technique repose sur l&rsquo;injection de <strong><code>ngccap.dll</code></strong> dans le processus <strong><code>LogonUI.exe</code></strong> (SYSTEM, non-PPL) via <code>logonui_watch.ps1</code> :</p>