Windscribe ha pubblicato deGDID, uno script PowerShell open source che rimuove dal sistema il Global Device Identifier di Windows, il codice server-side emerso nei documenti giudiziari che a luglio 2026 hanno portato all'estradizione negli Stati Uniti di Peter Stokes, presunto membro del gruppo Scattered Spider. Il tool funziona, ma disattiva anche l'accesso agli account Microsoft: nei test interni sono saltati Xbox, Outlook e Store, con Windows Hello, OneDrive e passkeys segnalati come esposti.
Il codice che ha battuto VPN e tunneling
Il GDID è un identificatore persistente generato lato server e agganciato a una singola installazione di Windows. Non cambia con il rinnovo dell'IP tramite VPN, non dipende dal nome del computer, non è un seriale hardware. Rimane stabile mentre l'utente cambia rete, sistema operativo virtuale o country di uscita.
Nel caso Stokes, 19 anni con doppia cittadinanza USA-Estone, i log Microsoft hanno collocato lo stesso GDID sulla pagina di registrazione di ngrok nell'esatto minuto in cui è stato creato l'account usato nell'attacco a un rivenditore di gioielleria di lusso, con richiesta di riscatto da 8 milioni di dollari in criptovaluta nel maggio 2025. L'imputato è stato arrestato in Finlandia ad aprile ed estradato negli Stati Uniti secondo l'annuncio DOJ del 1 luglio 2026. La contestazione parla di oltre 100 intrusioni e più di 100 milioni di dollari di riscatti attribuiti a Scattered Spider, tracciato anche come Octo Tempest, UNC3944 e 0ktapus. Il messaggio implicito, mai formalizzato pubblicamente da Microsoft, è che il GDID può funzionare come impronta forense di ultimo miglio anche quando ogni altro identificatore di rete è stato mascherato.
Cosa si rompe davvero
La rimozione del codice non è indolore. deGDID interviene sul file hosts e sul firewall di Windows per chiudere i percorsi di registrazione usati da Microsoft, poi cancella token dispositivo, ticket, voci di Gestione credenziali, cache WAM e le informazioni presenti in ConnectedDevicesPlatform e TokenBroker. Il tool non tocca i file di sistema e non modifica il registro fuori dai percorsi legati al codice.
Il risultato pratico documentato da Windscribe è la perdita di accesso a diversi servizi collegati all'account Microsoft. Nei test dell'azienda su una macchina Windows 11 sono saltati Xbox, Outlook e Microsoft Store. Le note ufficiali di compatibilità aggiungono OneDrive collegato ad account Microsoft, Phone Link, Windows Hello con sign-in cloud e i meccanismi di autenticazione tramite passkey. Chi usa il PC con un account locale tradizionale è meno esposto, ma anche in quel caso non tutti i servizi cloud continuano a funzionare come prima.
Un altro limite riguarda il perimetro di azione: il tool impedisce la generazione di un nuovo identificatore dopo la rimozione locale, ma non cancella i dati che Microsoft ha già collezionato lato server. La storia già archiviata resta associata al dispositivo nei sistemi dell'azienda di Redmond. Chi cerca oblio retroattivo non lo troverà qui.
Versioni supportate e comandi
Il progetto è pubblicato su GitHub con licenza open source e supporta Windows 11 dalle versioni 21H2 alla 25H2 e Windows 10 22H2. L'esecuzione richiede un prompt PowerShell con privilegi amministrativi.
Windscribe indica tre flussi principali: -Status per una verifica in sola lettura, -Status -Redact per condividere l'output senza rivelare valori sensibili, -Protect per bloccare i percorsi di registrazione, verificare il blocco, cancellare lo stato locale e ripetere l'inventario. Per annullare tutto esiste -Unprotect, che riporta il sistema allo stato precedente.
Nella stessa logica dei tool pensati per ripulire tracce automatiche, un altro strumento prova a cancellare l'impronta dei modelli AI dai paper scientifici: sono utility diverse, ma condividono il presupposto di un tracciamento implicito da smontare a mano.
Prima di eseguire deGDID conviene verificare quali servizi Microsoft sono davvero in uso sul PC: se dipende da Windows Hello per l'accesso o da OneDrive per la sincronizzazione, va provato prima su una macchina non produttiva. La reversibilità è documentata, ma l'account cloud collegato può richiedere una nuova configurazione.
Domande frequenti
Che cos'è il GDID di Windows e perché è importante?
Il GDID è un identificatore persistente generato lato server, associato a una singola installazione di Windows. Viene utilizzato per tracciare dispositivi anche quando altri identificatori di rete sono mascherati, come dimostrato in indagini forensi e casi giudiziari.
Cosa succede ai servizi Microsoft dopo la rimozione del GDID con deGDID?
La rimozione del GDID disattiva l'accesso a diversi servizi Microsoft tra cui Xbox, Outlook, Microsoft Store, OneDrive, Phone Link, Windows Hello con sign-in cloud e autenticazione tramite passkey. Anche chi usa account locali potrebbe avere limitazioni nell'accesso ai servizi cloud.
Il tool deGDID elimina anche i dati già raccolti da Microsoft?
No, deGDID impedisce la generazione di nuovi identificatori ma non cancella i dati già collezionati da Microsoft lato server. La cronologia precedente resta associata al dispositivo nei sistemi dell'azienda.
Su quali versioni di Windows è compatibile deGDID?
deGDID supporta Windows 11 dalla versione 21H2 alla 25H2 e Windows 10 22H2. È necessario eseguire lo script PowerShell con privilegi amministrativi.
È possibile annullare gli effetti di deGDID e ripristinare il sistema?
Sì, il tool offre il comando -Unprotect che riporta il sistema allo stato precedente, ma la riconfigurazione dell'account cloud collegato potrebbe essere necessaria.
Quali precauzioni è consigliato prendere prima di usare deGDID?
È consigliato verificare quali servizi Microsoft sono utilizzati sul PC e testare lo strumento su una macchina non produttiva, specialmente se si dipende da servizi come Windows Hello o OneDrive.
