research

StandOff Talks 2026 | Secure Desktop is not Secure

Talk

• Titles:
  • English: Secure Desktop is not Secure: DesktopRanger Against High-Privilege Keyloggers
  • Russian: Не такой уж Secure Desktop: как DesktopRanger противостоит привилегированным кейлоггерам
  • Alternative Russian title: Безопасный рабочий стол небезопасен: DesktopRanger против кейлоггеров с высокими привилегиями
• Speaker: Igor Korkin
• Event: StandOff Talks 2026
• Type: Conference presentation
• Date: June 18, 2026
• Location: Moscow, Russia
• Language: Russian
• Watch on YouTube
• Watch on RuTube
• Watch on VK Video
• DesktopRanger on GitHub
• StandOff Talks media archive
• Official participation letter

Abstract

Windows Desktop isolation moves sensitive keyboard input away from the Default desktop and protects it from basic keyloggers. However, privileged user-mode processes can enumerate desktops, open them by name, switch to a target desktop, or launch a helper process inside it.

The talk reviews attacks based on SetWindowsHookEx, GetAsyncKeyState, Raw Input, DirectInput, Desktop-object enumeration, and cross-desktop process relaunch. It also presents DesktopRanger, an open-source prototype that strengthens Window Station and Desktop access control through a restrictive security descriptor, desktop-enumeration restrictions, and controlled trusted-application launch.

Experiments on Windows 11 x64 show that DesktopRanger blocks interception of a test password phrase by all implemented techniques when the keylogger runs as a regular user, administrator, or NT AUTHORITY\SYSTEM.

Описание доклада

Механизм Windows Desktop позволяет перенести ввод конфиденциальных данных с Default Desktop на отдельный рабочий стол, однако защищает его преимущественно от базовых кейлоггеров. Привилегированные процессы могут перечислять рабочие столы, открывать их по имени, переключаться на целевой рабочий стол или запускать на нём собственный процесс.

В докладе рассматриваются атаки с применением SetWindowsHookEx, GetAsyncKeyState, Raw Input, DirectInput, перечисления Desktop-объектов и перезапуска процесса на других рабочих столах. Представлен DesktopRanger — open-source прототип, усиливающий разграничение доступа к объектам Window Station и Desktop с помощью ограничительного дескриптора безопасности, запрета перечисления защищённых рабочих столов и контролируемого запуска доверенных приложений.

Эксперименты в Windows 11 x64 показали, что DesktopRanger блокирует перехват тестовой парольной фразы всеми реализованными техниками при запуске кейлоггера от имени пользователя, администратора и NT AUTHORITY\SYSTEM.

How to Cite

ГОСТ

Коркин И. Ю. Не такой уж Secure Desktop: как DesktopRanger противостоит привилегированным кейлоггерам : доклад на конференции StandOff Talks 2026, Москва, 18 июня 2026 г.

APA 7

Korkin, I. (2026, June 18). Secure desktop is not secure: DesktopRanger against high-privilege keyloggers [Conference presentation]. StandOff Talks 2026, Moscow, Russia.