Comment supprimer WinRing0 de Windows et déterminer s'il s'agit réellement d'un virus

Actualités Gadgets » Général » Tutoriels » Comment supprimer WinRing0 de Windows et déterminer s'il s'agit réellement d'un virus

Si vous utilisez Windows 10 ou Windows 11 et que vous avez soudainement reçu une alerte de Microsoft Defender concernant un élément nommé HackTool:Win32/WinRing0 ou VulnerableDriver:WinNT/Winring0.G , il est compréhensible que vous soyez inquiet et pensiez avoir un cheval de Troie dangereux sur votre PC. Pire encore, vos outils de surveillance, vos ventilateurs ou votre éclairage RGB peuvent avoir cessé de fonctionner subitement.

Il est important de savoir que, dans la plupart des cas, il ne s'agit pas d'un virus classique infectant des fichiers ou chiffrant votre disque dur , mais plutôt d'un pilote présentant une vulnérabilité connue que Windows a décidé de bloquer systématiquement. Cela ne signifie pas qu'il est totalement inoffensif, mais cela change considérablement la donne et influence votre décision quant à son maintien ou non en état de marche.

Qu’est-ce que WinRing0 et pourquoi Windows Defender le détecte-t-il comme une menace ?

WinRing0 est un pilote d'accès matériel de bas niveau utilisé depuis des années dans de nombreuses applications de surveillance et de contrôle de PC. Il s'agit d'une bibliothèque/pilote permettant à un programme de communiquer quasiment directement avec le noyau Windows et certains composants de la carte mère, en contournant plusieurs couches de protection habituelles.

Grâce à cet accès approfondi, WinRing0 est devenu très populaire auprès des applications tierces qui ont besoin de lire les données des capteurs, de gérer la vitesse des ventilateurs, de contrôler l'éclairage RGB ou d'ajuster avec précision les paramètres système. C'est l'une des rares solutions libres et open source permettant une interaction aussi étroite avec le matériel.

Le problème est qu'en 2020, le pilote WinRing0 a été répertorié comme une faille de sécurité (CVE-2020-14979 ). Cette vulnérabilité permet à toute application (même sans privilèges d'administrateur) de demander l'autorisation de lire ou d'écrire dans des zones protégées de la mémoire système une fois le pilote chargé, ouvrant ainsi la voie à une élévation de privilèges ou à la manipulation de processus critiques.

Pour cette raison, Microsoft a décidé que les pilotes WinRing0 non signés ou non sécurisés seront signalés dans Defender comme des logiciels potentiellement dangereux, apparaissant sous des détections telles que Hacktool:Win32/Winring0 ou VulnerableDriver:WinNT/Winring0.G. D'un point de vue technique, la détection est légitime : le pilote présente une vulnérabilité réelle et peut être exploité par un logiciel malveillant.

Cela ne signifie pas que votre copie de WinRing0 est un virus, mais plutôt qu'elle possède des fonctionnalités exploitables par des logiciels malveillants . D'où la confusion : le même nom est utilisé à la fois par le pilote légitime et par certaines menaces qui s'en servent pour échapper à la détection.

Applications et outils qui dépendent de WinRing0

Si ce problème a suscité autant d'intérêt, c'est notamment parce que de nombreuses applications populaires dépendent de WinRing0 pour fonctionner correctement. Avec le renforcement des politiques de Microsoft Defender, ces applications ont toutes été affectées par des détections, des blocages et des comportements inhabituels sur les ordinateurs des utilisateurs.

Parmi les outils les plus touchés figurent de nombreux programmes de surveillance matérielle, des jeux et des utilitaires de gestion RGB ou de ventilateurs. Divers rapports et témoignages mentionnent, par exemple, CapFrameX, EVGA Precision X1 (versions antérieures), FanCtrl, HWiNFO, Libre Hardware Monitor, MSI Afterburner, Open Hardware Monitor, OpenRGB, OmenMon, Panorama9, SteelSeries Engine et ZenTimings , entre autres.

Par ailleurs, certains logiciels de gestion de périphériques et d'équipements de jeu utilisés par certains fabricants ont déjà fait appel à WinRing0. Un exemple concret, relayé sur les forums, concerne un utilisateur dont le pilote était intégré à l'application Razer Synapse, exécutée en arrière-plan. De ce fait, Windows Defender ne pouvait pas le supprimer directement, car le fichier était systématiquement marqué comme « en cours d'utilisation ».

Dans un autre cas, un utilisateur a expliqué que WinRing0 était indispensable à une application d'accessibilité qui nécessitait de désactiver temporairement le tramage pour des raisons de santé visuelle. Sans ce pilote, son ordinateur portable était tout simplement inutilisable, et Windows Defender le supprimait ou le bloquait sans lui proposer de solution simple pour le restaurer.

Tout cela signifie que, soudainement, après une mise à jour des définitions de Defender, de nombreux utilisateurs ont constaté que leurs outils préférés ne démarraient plus , que leurs ventilateurs se mettaient à tourner à pleine vitesse de manière incontrôlable ou que l'éclairage RGB était mal configuré, car le pilote central qui orchestre tout cela a été mis en quarantaine.

Risques réels en matière de sécurité : vulnérabilité ou virus ?

Il est important de bien distinguer les concepts : WinRing0 n’est ni un ransomware ni un cheval de Troie bancaire classique , mais un contrôleur vulnérable qui peut être exploité par un logiciel malveillant pour prendre le contrôle du système plus facilement qu’il ne devrait l’être.

Une fois chargé dans le système, WinRing0 offre un accès illimité aux ressources protégées . Cela permet à n'importe quel processus d'ordonner au pilote de lire ou d'écrire à des adresses mémoire critiques, y compris des zones où résident d'autres processus, des secrets, des mots de passe temporaires, voire des structures internes du noyau Windows.

Du point de vue de la sécurité, c'est particulièrement préoccupant car cela compromet l'une des barrières fondamentales protégeant Windows : la séparation entre l'espace utilisateur et l'espace noyau. Une faille exploitant WinRing0 peut contourner de nombreuses défenses habituelles sans qu'il soit nécessaire de compromettre le système d'exploitation lui-même.

C’est pourquoi Microsoft considère les versions non signées ou vulnérables de WinRing0 comme un outil de piratage ou un pilote dangereux . De ce fait, de nombreux experts recommandent de l’éviter autant que possible, ou du moins de limiter son utilisation à des situations très spécifiques et contrôlées, comme sur des machines de laboratoire ou dans des environnements où le risque est acceptable.

Toutefois, le fait que Defender signale WinRing0 ne signifie pas automatiquement que vos mots de passe ont été volés, qu'un enregistreur de frappe a été installé ou que vos fichiers sont chiffrés . Dans la plupart des cas, la détection a lieu parce qu'une application légitime déjà installée utilise ce pilote ; ce qui a changé, ce sont les critères de Microsoft, et non votre comportement.

Pourquoi Windows le bloque-t-il maintenant, et quel est le rôle de CrowdStrike dans tout cela ?

Nombreux sont ceux qui se demandent pourquoi, si WinRing0 est vulnérable depuis des années, Defender ne le bloque aussi activement que maintenant . Il n'existe pas de réponse officielle et définitive, mais plusieurs indices permettent de mieux comprendre le contexte.

D'une part, Microsoft renforce depuis un certain temps ses politiques de sécurité relatives aux pilotes de noyau . Suite à des incidents majeurs tels que la faille CrowdStrike, qui a paralysé des systèmes dans le monde entier en raison d'une erreur dans une mise à jour de sécurité, la pression s'est accrue pour limiter les types de logiciels pouvant s'exécuter avec des privilèges aussi élevés.

De plus, depuis plusieurs années, Microsoft exige que les pilotes accédant au noyau soient signés numériquement à l'aide d'un certificat de signature de noyau spécifique. L'obtention de ce certificat nécessite d'être une entreprise reconnue et de payer pour la signature, ce qui engendre des coûts récurrents — une contrainte gérable pour les grandes entreprises, mais difficile à supporter pour de nombreux projets open source.

WinRing0, bibliothèque open source largement utilisée , a bénéficié de correctifs et d'améliorations au fil du temps. Cependant, chaque nouvelle version doit être examinée et signée par Windows pour être considérée comme fiable. Selon plusieurs développeurs, elle a été corrigée à plusieurs reprises ces dernières années, mais la situation devient intenable si Microsoft décide d'arrêter de signer les nouvelles versions ou juge la philosophie sous-jacente du pilote trop risquée.

Microsoft a reconnu avoir pris connaissance de signalements concernant des applications de jeux et de surveillance considérées comme des menaces car utilisant des versions non signées de WinRing0. Tout en précisant poursuivre son enquête, l'entreprise a également indiqué que Defender continuera de traiter les pilotes non signés comme des menaces et qu'elle revoit actuellement sa logique de détection afin d'éviter les faux positifs, sans pour autant compromettre la protection à long terme.

Conséquences pour les utilisateurs : ventilateurs défaillants, éclairage RGB défectueux et applications qui ne se lancent pas.

Pour l'utilisateur lambda, l'effet le plus visible est que, du jour au lendemain, de nombreux outils de contrôle matériel cessent de fonctionner . Windows Defender détecte WinRing0, le met en quarantaine ou le supprime, et ce faisant, il désactive un élément essentiel de ces programmes.

Sur certains systèmes, dès que WinRing0 disparaît, les ventilateurs tournent à plein régime sans régulation, car l'application qui les gérait ne peut plus communiquer avec les capteurs ni avec le contrôleur de la carte mère. Sur d'autres, l'éclairage RGB se fige ou se déconfigure, ou les applications concernées se ferment instantanément après leur ouverture.

Il arrive aussi que des utilisateurs, voyant l'avertissement de Windows Defender avec des noms alarmants comme VulnerableDriver:WinNT/Winring0.G ou Hacktool:Win32/WinRing0, pensent que leur PC a été infecté par un cheval de Troie particulièrement sophistiqué . Certains ont même envisagé de réinstaller Windows par crainte d'un accès à distance, d'enregistreurs de frappe ou d'autres menaces similaires.

Sur un forum, un utilisateur a signalé une alerte concernant un fichier lié au logiciel Razer. Il a tenté de le supprimer, mais Windows l'en a empêché car le fichier était « en cours d'utilisation » par un autre programme. Windows Defender a essayé de le supprimer à plusieurs reprises, sans succès. Ce n'est qu'après avoir fermé manuellement le processus associé via le Gestionnaire des tâches que l'antivirus a pu supprimer le fichier et le problème a disparu.

Dans un autre cas, après une tentative d'accès à distance apparemment bloquée, un utilisateur a constaté la présence de WinRing0 et a soupçonné un cheval de Troie de haut niveau. Il a démarré son ordinateur en mode sans échec et a lancé une analyse complète , envisageant même sérieusement de formater le système. Bien que la prudence soit toujours de mise dans ce genre de situation, il n'était pas forcément nécessaire d'aller aussi loin si la source du problème était un pilote pour un logiciel connu.

Options pour continuer à utiliser vos programmes : exclusions et alternatives

Si vous avez absolument besoin de l'une des applications concernées (par exemple, un outil de surveillance avancé, un contrôleur de ventilateur, un logiciel RGB ou même une application d'accessibilité essentielle), plusieurs options s'offrent à vous, chacune avec ses propres implications. Il n'existe pas de solution idéale , mais plutôt différentes manières de trouver un équilibre entre risque et facilité d'utilisation.

La première option consiste à rechercher des mises à jour de l'application elle-même . Certains développeurs ont commencé à publier de nouvelles versions qui suppriment WinRing0 ou le remplacent par un pilote propriétaire ou différent, bien que cela implique souvent des mois de travail et un coût considérable.

Par exemple, SignalRGB a expliqué avoir cessé d'utiliser WinRing0 en 2023 et avoir développé son propre pilote SMBus, précisément pour éviter de dépendre d'un pilote système potentiellement vulnérable ou incompatible avec d'autres versions logicielles. L'entreprise reconnaît elle-même que le processus a été complexe et a nécessité d'importantes ressources d'ingénierie.

Une autre possibilité consiste à utiliser des outils alternatifs qui ne dépendent plus de WinRing0. Certains utilitaires de surveillance et de gestion du matériel se sont adaptés aux nouvelles exigences de signature du noyau et ont migré vers d'autres pilotes, même s'ils perdent parfois certaines fonctionnalités avancées lors de cette migration.

Troisièmement, certains développeurs et utilisateurs recommandent avec prudence d'ajouter une exclusion dans Microsoft Defender pour permettre à WinRing0 de continuer à fonctionner. Cette option implique d'accepter le risque de conserver un pilote vulnérable sur le système ; elle doit donc être mûrement réfléchie, notamment sur les ordinateurs contenant des données sensibles ou ceux connectés en permanence à Internet.

Comment ajouter une exclusion WinRing0 dans Microsoft Defender (à vos risques et périls)

Avant d'entrer dans les détails, il est important de souligner ce qu'affirme officiellement Microsoft : toute modification qui réduit la sécurité ou désactive les protections doit être soigneusement évaluée . Ces mesures peuvent s'avérer utiles comme solution temporaire à un problème spécifique, mais elles impliquent toujours une prise de risque supplémentaire.

Si vous décidez de poursuivre parce que vous avez absolument besoin d'une application qui utilise WinRing0 (par exemple, pour contrôler les ventilateurs d'un ordinateur qui surchauffe ou pour une exigence d'accessibilité), vous pouvez ajouter une exclusion dans Microsoft Defender Antivirus pour l'empêcher de bloquer le fichier ou le dossier concerné.

Les étapes générales sous Windows 10 et Windows 11 sont les suivantes :

• Ouvrez l'application Sécurité Windows Vous pouvez le trouver en cliquant sur Démarrer > Paramètres > Mise à jour et sécurité > Sécurité Windows, ou en le recherchant dans le menu Démarrer.
• Sur le panneau principal, entrez dans la section Protection contre les virus et les menaces.
• Dans la section Paramètres de protection contre les virus et les menaces, cliquez sur Gérer les paramètres.
• Défilez vers le bas jusqu'à atteindre le bloc Les exclusions et sélectionnez « Ajouter ou supprimer des exclusions ».
• Appuyez sur Ajouter une exclusion Choisissez ensuite si vous souhaitez exclure un fichier spécifique, un dossier entier ou un processus. Sélectionnez ensuite l'élément lié à WinRing0 ou à l'application concernée.

À partir de ce moment, Defender cessera d'analyser et de bloquer tout ce que vous avez ajouté à la liste d'exclusions. Cela peut résoudre des dysfonctionnements matériels, mais cela crée également une faille dans votre protection ; par conséquent, cette opération ne doit être effectuée que si vous savez précisément ce que vous excluez et pourquoi.

Si vous avez des doutes quant à la nature de la menace détectée (pilote vulnérable ou autre élément potentiellement dangereux), il est conseillé d'effectuer des analyses supplémentaires avec d'autres solutions anti-malware, de vérifier les programmes récemment installés et, si nécessaire, de demander de l'aide sur des forums spécialisés avant d'exposer physiquement votre système à un potentiel logiciel malveillant.

Que faire si Defender ne supprime pas WinRing0 ou le détecte en permanence ?

Dans certains cas, Windows Defender peut tenter à plusieurs reprises de supprimer WinRing0 sans succès, car le fichier est utilisé par un programme en arrière-plan. Cela provoque une boucle d'avertissements et de tentatives de suppression infructueuses, tandis que l'utilisateur voit constamment l'alerte de menace active.

La cause la plus fréquente est que l'application utilisant le pilote est actuellement ouverte ou qu'un service y est actif. Dans ce cas, vous devez fermer manuellement le programme et ses processus associés avant que l'antivirus puisse agir. Vous pouvez le faire à l'aide du Gestionnaire des tâches :

• Ouvrez le Le Gestionnaire des tâches (Ctrl+Maj+Échap ou clic droit sur la barre des tâches > Gestionnaire des tâches).
• Trouvez le processus principal de l'application concernée (par exemple, le logiciel Razer, les outils RGB, etc.) et terminez-le.
• Vérifiez également l'onglet des processus en arrière-plan au cas où des services seraient liés au même programme.

Une fois que vous avez arrêté tous les processus dépendant de WinRing0, relancez l'analyse et la suppression depuis Windows Defender . D'après plusieurs témoignages, cette procédure a permis à l'antivirus de supprimer la détection sans qu'il soit nécessaire de réinstaller Windows ni de prendre des mesures plus radicales.

Si la détection persiste, il est possible que l'application réinstalle ou régénère le pilote à chaque démarrage. Dans ce cas, vous devrez choisir entre désinstaller complètement le programme, trouver une version plus récente n'utilisant pas WinRing0, ou utiliser l'exclusion (à vos risques et périls) pour éviter ce conflit persistant.

Commentaires à Microsoft et position des développeurs

Le changement de traitement de WinRing0 a suscité une inquiétude considérable parmi les développeurs et les utilisateurs avancés, car il impacte directement la quasi-totalité de l'écosystème de surveillance et de contrôle du matériel tiers, en particulier les projets open source qui dépendent de pilotes de ce type.

Les développeurs d'outils comme HWiNFO ou Fan Control ont expliqué que changer le pilote n'est pas une simple mise à jour mineure , mais implique de refaire une grande partie du programme, avec un coût important en temps et en argent, après des années de travail et une réputation bâtie autour de ces outils.

Microsoft a seulement indiqué être au courant des faux positifs et réévaluer sa logique de détection afin de l'affiner, tout en insistant sur le fait que les pilotes non signés ou potentiellement vulnérables continueront d'être considérés comme une menace afin de réduire les risques à long terme.

Face à cette situation, un acteur inattendu fait son apparition : iBuyPower, une entreprise réputée pour ses PC de jeu pré-assemblés. Selon son chef de produit, elle tente d’obtenir une version mise à jour de WinRing0, signée numériquement par Microsoft . Si elle y parvient, elle prévoit de partager cette bibliothèque signée avec la communauté des développeurs afin qu’ils puissent distribuer des versions de leurs applications avec un pilote validé.

Même si cette version signée était publiée, le problème de fond persisterait : WinRing0 conserverait sa conception de base , qui lui confère un accès très étendu au noyau. Par conséquent, si un logiciel malveillant parvenait à l’usurper ou à l’exploiter, le risque demeurerait. De nombreux experts estiment que la seule solution fiable consiste à migrer vers de nouveaux pilotes conçus de A à Z, avec des limites plus strictes et un modèle de sécurité plus moderne.

Comment envoyer des commentaires et contrôler leur niveau sous Windows

Si vous êtes concerné par ces détections et pensez que Microsoft devrait revoir son approche, vous pouvez envoyer vos commentaires directement depuis Windows . L'entreprise encourage d'ailleurs l'utilisation des outils intégrés pour signaler les problèmes liés à Defender et aux autres composants du système.

D’une part, Windows est configuré pour vous demander automatiquement et périodiquement vos commentaires. Si vous souhaitez consulter ou modifier ce paramètre de retour d’information automatique, vous pouvez procéder comme suit :

• Aller à Accueil > Paramètres > Confidentialité et sécurité > Diagnostics et commentaires.
• Dans la section Fréquence des commentaires, assurez-vous que l'option « Automatiquement (recommandé) » est sélectionnée si vous souhaitez que Windows vous demande périodiquement vos commentaires.

Par ailleurs, vous pouvez également soumettre vos commentaires manuellement via le Hub de commentaires quand vous le souhaitez, sans attendre que le système vous le demande :

• Tapez « Centre de commentaires » dans la zone de recherche de la barre des tâches et ouvrez-le.
• Dans l'application, accédez à la section Commentaires et sélectionnez « Ajouter un nouveau commentaire ».
• Choisissez une catégorie pertinente, par exemple « Sécurité, confidentialité et comptes > Microsoft Defender Antivirus pour Windows ».

Ainsi, votre expérience avec WinRing0, les faux positifs ou les difficultés rencontrées dans la gestion des pilotes légitimes sont enregistrés et peuvent aider Microsoft à ajuster sa politique et ses outils de détection dans les versions futures, du moins en théorie.

Les paramètres de diagnostic et de commentaires vous permettent également de contrôler les données envoyées à Microsoft et leur niveau de détail, ce qui est important si la confidentialité vous préoccupe. Dans cette même section, vous pouvez consulter les options disponibles et les personnaliser selon vos préférences.

Aujourd'hui, la situation concernant WinRing0 est le résultat d'années de compromis entre fonctionnalité et sécurité : un pilote très utile pour accéder au matériel de bas niveau , mais qui représente également une vulnérabilité potentiellement exploitable et qui est désormais ciblé par Microsoft Defender. Si vous avez reçu une alerte, cela est très probablement dû à un outil de surveillance, un logiciel de contrôle de ventilateurs ou un logiciel RGB que vous avez installé, et non pas nécessairement à un nouveau cheval de Troie agressif. Dès lors, vous devrez décider de mettre à jour ou de changer de logiciel si possible, d'évaluer s'il est judicieux de conserver WinRing0 en créant des exclusions et en acceptant le risque, ou simplement de le supprimer pour privilégier une sécurité plus stricte sur votre système.