WHFB-PinCapture : capture du PIN Windows Hello via breakpoint matériel CPU dans LogonUI.exe
🔍 Contexte Publié en octobre 2026 sur GitHub (ivancabrera02/WHFB-PinCapture), ce dépôt présente une technique offensive permettant de capturer le PIN Windows Hello for Business (WHFB) sur des systèmes Windows 11 protégés par VBS/VSM et TPM, où les attaques hors ligne et le brute-force sont rendus inopérants. 🛡️ Pourquoi les attaques classiques échouent Le projet documente les protections en place qui rendent les attaques traditionnelles inefficaces : VBS/VSM actif : la hiérarchie de clés réside en VTL1 (secure kernel), inaccessible depuis SYSTEM en VTL0 Conteneur NgcIso : le secret PIN est descellé à l’intérieur du trustlet, pas en user mode normal Matériel scellé par TPM : aucune clé en clair sur disque, le descellement nécessite le TPM Anti-hammering : softLockoutAttemptLimit = 5, compteur enforced par VTL1, non réinitialisable depuis le disque ⚙️ Technique d’attaque : hardware breakpoint capture La technique repose sur l’injection de ngccap.dll dans le processus LogonUI.exe (SYSTEM, non-PPL) via logonui_watch.ps1 : ...