了解 PC 监控和风扇控制应用程序中有关“Winring0”的 Windows 11/10 警报

了解 PC 监控和风扇控制应用程序中有关“Winring0”的 Windows 11/10 警报

Microsoft Defender 标记风扇控制应用程序:你需要知道什么

最近,许多在线用户报告称 Microsoft Defender 标记了他们的风扇控制和 PC 硬件监控程序。Razer 和 SteelSeries 等品牌的知名应用程序也受到影响。此问题是由于检测到“WinRing0x64.sys”系统驱动程序而引起的,该驱动程序被 Microsoft 标记为“HackTool:Win32/Winring0”,并在检测到后立即被隔离。

了解 WinRing0:功能和风险

WinRing0 驱动程序充当 Windows 的硬件访问库,使应用程序能够与 I/O 端口、模型特定寄存器 (MSR) 和 PCI 总线进行交互。例如,流行的 RGB 照明控制应用程序 OpenRGB 在其GitHub 存储库上确认,它依赖 WinRing0 驱动程序与 SMBus 接口进行通信,这有助于设备之间的低带宽通信。

合理的担忧:驱动程序中的漏洞

虽然微软的举动似乎有些过分,但并非毫无道理。该驱动程序已被确认存在漏洞,因此需要谨慎处理。例如,广泛使用的“风扇控制”应用程序的开发人员表示,依赖于开源 LibreHardwareMonitorLib 驱动程序 (WinRing0x64.sys) 的软件确实被正确标记。由于此驱动程序仍未打补丁,因此可能会发生潜在漏洞。

你们中的许多人报告说 Defender 开始标记 LibreHardwareMonitorLib 驱动程序 (WinRing0x64.sys),你们不需要进一步报告,我知道这一点。

此内核驱动程序始终存在已知漏洞,理论上可在受感染的机器上加以利用。驱动程序或程序本身并不恶意,并且安全性不会比被标记之前更高或更低。在使用 Defender 采取任何措施之前,最好先检查风险。

漏洞详细信息

与 WinRing0 相关的漏洞于 2020 年首次发现,其标识符为“CVE-2020-14979”。根据国家漏洞数据库 (NVD) 的数据,此驱动程序可以读取和写入任意内存位置,展现出缓冲区和堆栈溢出漏洞的典型特征。NVD 重点指出:

EVGA Precision X1 中的 WinRing0.sys 和 WinRing0x64.sys 驱动程序 1.2.0 到 1.0.6 允许本地用户(包括低完整性进程)读取和写入任意内存位置。这允许任何用户通过将 \Device\PhysicalMemory 映射到调用进程来获得 NT AUTHORITY\SYSTEM 权限。

Razer 的回应和建议

鉴于这些进展,Razer 就其 Synapse 应用程序发表了一份声明,建议用户升级到不使用这些问题驱动程序的 Synapse 4。Razer 社区论坛上的一位代表表示:

Synapse 3 于 2025 年 2 月 20 日推出了安全补丁,以摆脱这些驱动程序。

Synapse 4 未使用这些驱动程序。我们鼓励遇到此问题的任何人检查他们是否正在使用最新版本的 Synapse 3,或升级到 Synapse 4 以获得最先进的保护和功能。

这与整个行业的做法一致。我们提前确保了一切安全,但让用户及时更新 Windows 安全补丁和其他必要补丁也非常重要。

结论和最佳实践

这种情况说明这不仅仅是误报或潜在有害应用程序 (PUA) 检测。作为 Windows 11 持续改进的一部分,微软一直在积极增强其智能控制应用程序,建议仍在使用 Windows 10 的用户进行全新安装。

此外,微软最近发布了针对 Windows 11 和 10 以及 Windows Server 安装的新版本安全情报更新,体现了他们对用户安全的持续承诺。

来源和图片

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注