IT之家于九月二十七日通报，科技平台BornCity于前日，也就是九月二十六日，刊发文章称，Windows 11 24H2版本存在严重安全缺陷，微软方面则表示，采用Microsoft Defender软件的用户能够有效抵御这类威胁。

IT之家根据博文内容说明，该安全缺陷出自安全研究组织 Zero Solarium 的披露，它源自对 Windows 错误报告软件 WerFaultSecure.exe 的不当使用。恶意行为者可以借助该软件的特殊授权，实施两种性质迥异的攻击，给系统安全带来重大风险。

有一种攻击会使设备安全应用完全失效，另一种攻击则能直接盗取保存在机器内存里的个人重要信息。

一种攻击手法被称作“系统守护进程冻结”。调查人员察觉到，WerFaultSecure.exe 可以借助“受保护进程简化版”（PPL）以最高权限（WinTCB 等级）执行。

凭借这一优势，黑客能够强行冻结其他受 PPL 技术防护的应用程序，比如常见的 EDR 和杀毒软件产品。根据这一机制，该组织研制出 EDR-Freeze 这个程序，它无需加载驱动，能在系统用户态执行，把安全软件的进程静止 1 到 3 秒钟。这种攻击若借助程序不断触发，可让系统防御长时间失去作用，从而为后续的破坏行为提供便利。

第二种攻击手段更加直白，目的是获取 LSASS 进程里储存的密码信息。新版 Windows 系统会对本地安全机构子系统服务（LSASS，负责处理用户登录、密码修改等安全措施）内存备份内容实施加密处理。

攻击者运用了一种伪装策略，把一个 Windows 8.1 版本的 WerFaultSecure.exe 文件替换到 Windows 11 系统里，这个文件存在安全漏洞，并且带有微软的官方认证，看起来像是正常更新。

这个老旧程序在创建崩溃记录时不会实施加密措施。一旦攻击者获取该旧文件，就能得到一份未加密的 LSASS 内存记录，借助 Mimikatz 等手段可以从里面直接获取未加密的密码信息。

对于这些潜在风险，微软公司已经发布表态。有工作人员透露，Microsoft Defender 能够识别并拦截这类攻击行为，其用户不会遭遇 EDR-Freeze 软件带来的问题。

此外，安全社区还给出了其他防护措施，比如借助 AppLocker 这类方法，将 WerFaultSecure.exe 的运行权限控制在认证的系统文件夹之内，以此防止攻击者借助非标准或过时的文件实施侵害，进而增强系统的整体安全水平。