Windows Recall (instantanés des PC Copilot+)

Présentation

Recall est une fonction de Windows 11 pour les PC Copilot+ (machines dotées d'une unité de traitement neuronal) qui capture périodiquement des instantanés de l'écran, en extrait le texte par OCR sur l'appareil et l'indexe pour que l'utilisateur puisse rechercher « ce qu'il a vu ». D'un point de vue forensique, c'est un enregistrement d'écran auto-constitué avec un index texte interrogeable, d'où les fortes critiques sur la vie privée.

La fonction a beaucoup changé entre la première préversion et la version publiée, et elle évolue encore. Lisez tout ce qui suit comme dépendant de la version :

• Préversion de juin 2024 : des chercheurs ont montré que le magasin était une simple base SQLite et des fichiers images lisibles par tout processus s'exécutant sous l'utilisateur. Microsoft a retiré la sortie.
• Version remaniée (builds Insider à partir de fin 2024, disponibilité générale sur les PC Copilot+ en 2025) : Recall est soumis à activation volontaire, peut être supprimé en tant que fonctionnalité Windows, exige Windows Hello pour la consultation, et Microsoft indique que les instantanés et l'index sont chiffrés avec des clés protégées par une enclave de sécurité basée sur la virtualisation (VBS).

Emplacement

Vérifiez la structure sur la build examinée : chemins et noms de fichiers peuvent avoir changé dans la version chiffrée.

Ce que l'artefact prouve

• Prouve (s'il est lisible) ce qui était affiché au moment de la capture : application, titre de fenêtre, texte visible et, pour les navigateurs, souvent l'URL.
• Peut montrer un contenu qui n'existe nulle part ailleurs : messages éphémères, documents consultés dans un navigateur, écrans de sessions distantes.
• Il ne prouve pas que l'utilisateur a lu ce qui était affiché ou interagi avec.
• Les trous entre instantanés ne prouvent rien : Recall ignore la navigation privée, les applications et sites filtrés, le contenu jugé sensible, le contenu protégé par DRM, et se met en pause à la demande.
• L'absence de magasin signifie en général que Recall n'a jamais été activé, pas qu'il a été effacé.

Champs clés

Tables de ukg.db en préversion, telles que décrites dans les travaux publics (noms et schéma peuvent différer dans les builds ultérieures) :

Horodatages

Rétention et effacement

• Le stockage est borné par un espace alloué configurable et, dans la version publiée, par un âge maximal des instantanés ; les plus anciens sont supprimés en premier.
• L'utilisateur peut supprimer une plage de temps ou tout l'historique depuis les paramètres de Recall, et désactiver ou supprimer la fonction efface le magasin.
• Sur les appareils professionnels gérés, Recall est désactivé par défaut et piloté par stratégie ; consignez les valeurs de stratégie dans vos constatations.

Collecte

Traitez Recall comme volatil et conditionné à l'utilisateur : s'il compte, prévoyez la collecte sur le système actif, dans la session de l'utilisateur.

# Recall est-il présent et activé ?
Dism /Online /Get-FeatureInfo /FeatureName:Recall
reg query "HKCU\SOFTWARE\Policies\Microsoft\Windows\WindowsAI"
reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsAI"
# Copier le magasin (le contenu peut être chiffré)
robocopy "$env:LOCALAPPDATA\CoreAIPlatform.00" E:\case\recall /E /COPY:DAT /DCOPY:T

Documentez le cadre légal avant toute collecte : le contenu de Recall est un historique d'écran qui peut capturer des données de tiers ou couvertes par un secret.

Outils d'analyse

• DB Browser for SQLite / sqlite3 : interroger directement ukg.db sur les magasins de l'époque de la préversion.
• TotalRecall (Alex Hagenah, open source) : extrait les magasins Recall de la préversion et en fait un rapport ; consultez ses notes pour la prise en charge de la version chiffrée.
• KAPE / Velociraptor : collectez le dossier avec une cible personnalisée si votre version de la bibliothèque de cibles n'en a pas.

Conseils d'investigation

• Établissez d'abord l'état : matériel Copilot+, fonction installée, activation faite, état des stratégies. La plupart des postes d'entreprise n'auront aucune donnée Recall.
• Sur les versions publiées, partez du principe que le contenu n'est pas lisible depuis une image disque à froid. L'accès, quand il est légal, nécessite en général la session utilisateur active et déverrouillée et Windows Hello.
• Quand il est lisible, cherchez des mots-clés dans le texte OCR, passez à la capture correspondante, puis confirmez avec les artefacts classiques (historique du navigateur, SRUM, Chronologie Windows).
• Un attaquant disposant d'un accès utilisateur à un magasin de l'époque de la préversion pouvait y récolter mots de passe et messages ; dans une intrusion sur un tel système, considérez le magasin comme potentiellement exfiltré.