Исследователи обнаружили, что стандартная функция предпросмотра окон в Windows может неожиданно раскрывать содержимое заблокированных приложений. Системный компонент DWM сохраняет последнее видимое состояние окна для создания миниатюр, даже когда пользователь активировал защиту экрана или спрятал данные.

Превью окон формируется на основе снапшотов, которые DWM делает в фоне, и они не всегда синхронизируются с реальным состоянием блокировки. Если приложение отправило команду на скрытие контента, но не обновило кадр в буфере, миниатюра продолжает показывать предыдущую картинку. Эта особенность касается многих популярных программ, включая мессенджеры и менеджеры паролей.

Автор материала демонстрирует утилиту, которая анализирует превью всех активных окон и извлекает оттуда потенциально конфиденциальные снимки. Инструмент не требует специальных прав и работает на уровне пользовательского API, что делает атаку незаметной для антивирусов.

Проблема давно известна Microsoft, но её исправление потребовало бы переработки архитектуры DWM, что может затронуть производительность всей системы. Пока пользователям рекомендуют вручную проверять, что нужные приложения корректно обрабатывают событие блокировки рабочего стола.