一 | 8 月 26 日消息,逆向工程师 Xusheng Li 于 8 月 15 日发布博文,深度分析了 Windows Health and Optimized Experiences 服务。曾于 8 月 3 日报道,微软为 Win11 系统新增上述后台服务,网友反馈该服务会在电脑每次开机时自启动,持续监控 CPU 使用率、温度和电池情况,并每隔 15 分钟将数据发给微软。
根据美国疾病控制与预防中心(CDC)近期更新的数据,如今在美传播的主要变体是以KP.2为首的“FLiRT”一族:KP.2的占比已经达到25%。微软副总裁斯科特 · 汉塞尔曼回应表示该功能上线于 2025 年,用途主要是采集性能诊断数据。
早在4月份的时候,医学专家Eric Topol就曾警告,KP.2为代表的FLiRT具有更为明显的传播优势,有可能引发新一波新冠疫情。
值得注意的是,新冠病毒的新变种KP.2正在加拿大、英国等多个国家迅速传播。今年5月初,世界卫生组织已将KP.2亚变种列为监测中变异株。逆向工程师 Xusheng Li 逆向该服务的 whesvc,其结果基本印证了微软的说明,但也发现其底层架构比普通性能诊断工具复杂得多。whesvc 服务的核心功能位于 windiag.dll(229 KB),该动态链接库内嵌 Lua 5.4.7 脚本语言。微软还提供 whesvc_assets.dll,其中包含 84 个已编译 Lua 脚本,用于处理不同诊断场景。世界卫生组织表示,将继续密切监测病毒的演变。脚本引擎公开了 79 个原生函数,可访问 Windows 的多类系统能力。

二 |
美国疾控中心最新数据显示,目前,KP.2占美国感染病例的四分之一以上。

三 | 该服务可以读取和修改 Windows 注册表,执行文件操作,创建并交互进程,查询 WMI(Windows 管理规范),收集 ETW(Windows 事件跟踪)记录,检查安全令牌,获取电源和温度信息,下载符号文件,创建 .cab 文件,并发起 HTTP 请求。

四 | 截至5月11日的两周内,KP.2估计占美国病例的28.2%,高于4月中旬的约6%和3月中旬的仅1%。
据悉,KP.2是JN.1变种的后代,有时被称为“FLiRT”变体,因其在刺突蛋白中的突变位置而得名。服务还提供通用 FFI(外部函数接口),允许脚本调用原生动态链接库,并操作多种 Windows 句柄。不过,Li 没有发现微软利用这些能力随机修改文件或注册表,现有脚本主要执行常规诊断任务。这些脚本可以在应用停止响应后采集跟踪记录,监控输入延迟和显示异常,识别启动缓慢的应用,并检测长期处于挂起状态的服务。包括KP.1.1在内的其他FLiRT变种也在美国流行,但还没有KP.2那么普遍。电源相关模块能够调查电池异常耗电,判断阻止电脑进入睡眠状态的原因,并响应持续的高功耗行为。memory_handle_leak 模块会在多个时间间隔内跟踪内存和句柄数量,再结合连续增长情况与线性回归斜率,区分潜在内存泄漏和正常增长。“FLiRT”最初是在美国下水道系统中发现的,但确切来源尚不清楚。
这意味着,新冠病毒仍在变异。system_summary 模块会生成 900 秒、即 15 分钟的 JSON 摘要,但文件保存在本地。尽管服务具备网络功能,Li 没有找到任何会实际发起任意 HTTP 请求的场景。CDC发言人发出警告称,病毒通过突变不断发生变化,有时这些突变会导致病毒产生新的变种。相关阅读:。一些变化和突变使病毒更容易传播或使其对治疗或疫苗产生抵抗力。随着病毒的传播,它可能会发生变化并且变得更难以阻止。CDC表示,其正在追踪这些变体,以更好地了解它们对公共健康的潜在影响,包括它们可能引起的症状或它们逃避当前疫苗和治疗保护的能力。
当前,CDC正在监测KP.2和KP.1.1引起的感染。早期数据表明,它们产生与JN.1相似的症状,通常出现在感染后2至14天,这些症状主要影响上呼吸道,包括喉咙痛、鼻塞、流鼻涕、咳嗽、发烧、头痛以及味觉和嗅觉丧失。
美国传染病专家罗伯特·墨菲博士表示,虽然症状和严重程度似乎与之前的新冠病毒株大致相同,但新变种似乎更具传染性。墨菲敦促公众了解新冠疫苗注射的最新情况,特别是那些因该病毒而出现严重并发症的风险较高的人。虽然大多数人对疫苗接种或以前感染过的新冠病毒有一定的免疫力,但墨菲指出,“对于新冠肺炎 (COVID-19),免疫力会随着时间的推移而减弱。

五 | ”
到目前为止,这一变体尚未被证明会导致更严重的疾病,疫苗也仍然有效。
英国华威大学病毒学家、分子肿瘤学教授Lawrence Young表示,“我们担心这个KP.2会在夏天引起一波感染。早期证据表明,KP.2似乎比以前的亚株更具传染性,但现在判断它是否更危险还为时过早。

六 | 我们应该监测这个亚谱系的传播,但鉴于现在没有很多测试,这很困难。”
传染病专家、范德比尔特大学医学院教授William Schaffner表示,与过去的病毒突变相比,新的变异没有什么本质上的不同。它们都是组粒的亚变体,含有刺突蛋白突变,使它们更具传染性。“我们正处于基因组时代,已经有几个亚变体占据了主导地位。它们具有高度传染性,但它们似乎不会产生更严重的疾病。
Schaffner还称,刺突蛋白突变意味着疫苗和先前获得的免疫可能不会像对早期菌株那样完全保护一个人,但实验室测试表明,对严重疾病仍然有实质性的保护。“我们现在将其视为主要季节性的严重呼吸道感染之一。它现在是地方性的,我们都在学习如何以一种常规的方式处理它。它(新冠病毒)不会消失。

七 | ”他补充说。
值得注意的是,新冠病毒的新变体FLiRT正在加拿大、英国等国家迅速传播。
当地时间5月9日,据Global News报道,KP.2迅速在加拿大占据主导地位,截至4月28日,全国数据显示,KP.2占加拿大所有COVID-19病例的26.6%,超过其他JN.1亚变种。
加拿大传染病专家Isaac Bogoch博士表示,最新的突变表明它可能更擅长逃避人们的免疫力,这可能表明,COVID-19病例即将激增。

八 |
同时,FLiRT变体在英国似乎也逐渐占据主导地位。Cov Spectrum的数据表明,KP.2和KP.1.1的组合占英国病例的40%。英国卫生安全局(UKHSA)尚未对FLiRT发表评论,但英国病例的增加可能表明它是新的主要变种。

九 |
今年5月初,世界卫生组织(WHO)已将KP.2亚变种列为监测中变异株。

十 | 世卫组织COVID-19技术负责人Maria Van Kerkhove此前表示,“KP.2是JN.1的后代谱系,而JN.1是全球主要菌株,KP.2刺突蛋白有额外的突变。

十一 | 还有其他新兴变体,JN.1不断发展,我们将继续看到这些变体传播。”
不过,截至目前,国内尚无该毒株传播的迹象。

十二 | 据中疾控公布的最新数据,2024年4月1日-4月30日,31个省(自治区、直辖市)及新疆生产建设兵团共报送11299例本土病例新冠病毒基因组有效序列,均为奥密克戎变异株。主要流行株为JN.1系列变异株,占比前三位的分别为JN.1、JN.1.4和JN.1.16。
全国新型冠状病毒感染本土病例变异株变化趋势
每日经济新闻综合自财联社、券商中国、中疾控、公开资料等