- A WinRing0 egy sebezhető illesztőprogram, amelyet számos hardverfigyelő és -vezérlő alkalmazás használ, nem pedig klasszikus vírus.
- A Microsoft Defender fenyegetésként jelöli meg, mivel képes mélyen hozzáférni a kernelhez, és potenciálisan rosszindulatú programokkal való visszaélésre képes.
- A felhasználók saját felelősségükre frissíthetik vagy cserélhetik az érintett alkalmazásokat, illetve hozzáadhatnak kizárásokat a Defenderben.
- Az iparág a biztonságosabb és aláírtabb illesztőprogramok felé halad, bár az átmenet összetett, különösen a nyitott projektek esetében.
Ha Windows 10 vagy Windows 11 rendszert használ, és hirtelen egy Microsoft Defender riasztást kapott egy HackTool:Win32/WinRing0 vagy VulnerableDriver:WinNT/Winring0.G nevű hibáról , akkor érthető, ha aggódik, és azt gondolja, hogy komoly trójai vírus van a számítógépén. Ráadásul a helyzetet súlyosbíthatja az is, hogy a felügyeleti eszközök, a ventilátorok vagy az RGB-világítás hirtelen leállhatott.
Az első dolog, amit tudnod kell, hogy a legtöbb esetben nem egy tipikus vírussal van dolgod, amely megfertőzi a fájlokat vagy titkosítja a merevlemezt , hanem egy ismert sebezhetőségű illesztőprogrammal, amelyet a Windows agresszíven blokkol. Ez nem jelenti azt, hogy teljesen ártalmatlan, de jelentősen megváltoztatja a megközelítésedet és azt, hogyan döntesz arról, hogy érdemes-e aktívan tartani vagy sem.
Mi az a WinRing0, és miért érzékeli a Windows Defender fenyegetésként?
A WinRing0 egy alacsony szintű hardverhozzáférési illesztőprogram , amelyet évek óta használnak számos PC-felügyeleti és -vezérlő alkalmazásban. Ez egy olyan könyvtár/illesztőprogram, amely lehetővé teszi a programok számára, hogy szinte közvetlenül kommunikáljanak a Windows kernellel és bizonyos alaplapi összetevőkkel, megkerülve a szokásos védelmi rétegek nagy részét.
Ennek a mély hozzáférésnek köszönhetően a WinRing0 nagyon népszerűvé vált a harmadik féltől származó alkalmazások körében , amelyeknek érzékelőket kell olvasniuk, ventilátorsebességet kell kezelniük, RGB-világítást kell vezérelniük, vagy rendszerparamétereket kell finomhangolniuk. Ez egyike azon kevés ingyenes és nyílt forráskódú opciónak, amelyek lehetővé teszik ezt a fajta szoros interakciót a hardverrel.
A probléma az, hogy 2020-ban a WinRing0 illesztőprogramot biztonsági résként sorolták be , CVE-2020-14979 számon . Ez a sebezhetőség lehetővé teszi bármely alkalmazás számára (akár rendszergazdai jogosultságok nélkül is), hogy engedélyt kérjen a rendszermemória védett területeiről való olvasásra vagy írásra, miután az illesztőprogram betöltődött a rendszerbe, megnyitva az utat a jogosultságok eszkalációja vagy a kritikus folyamatok manipulálása előtt.
Emiatt a Microsoft úgy döntött, hogy az aláíratlan vagy nem biztonságos WinRing0 illesztőprogramokat a Defender potenciálisan veszélyes szoftverként jelöli meg , és olyan észlelések alatt jelenik meg, mint a Hacktool:Win32/Winring0 vagy a VulnerableDriver:WinNT/Winring0.G. Technikai szempontból az észlelés jogos: az illesztőprogram valódi sebezhetőséget tartalmaz, amelyet rosszindulatú programok kihasználhatnak.
Ez nem azt jelenti, hogy a WinRing0 adott példánya vírus, hanem azt, hogy olyan képességekkel rendelkezik, amelyeket a rosszindulatú programok kihasználhatnak . Ezért van a zavar: ugyanazt a nevet használja mind a jogos illesztőprogram, mind bizonyos fenyegetések, amelyek mögé álcázva magukat próbálják elkerülni az észlelést.
A WinRing0-tól függő alkalmazások és eszközök
Az egyik oka annak, hogy ez a probléma ekkora felhajtást keltett, az, hogy számos népszerű alkalmazás a WinRing0-ra támaszkodik a megfelelő működéshez. A Microsoft Defender szabályzatainak szigorításával ezeket az alkalmazásokat mind érintették az észlelések, blokkolások és a felhasználók számítógépein tapasztalható szokatlan viselkedés.
A leginkább érintett eszközök között számos hardverfigyelő program, játék, valamint RGB- vagy ventilátorkezelő segédprogram található. Különböző jelentések és ajánlások említik például a CapFrameX-et, az EVGA Precision X1-et (régebbi verziók), a FanCtrl-t, a HWiNFO-t, a Libre Hardware Monitor-t, az MSI Afterburner-t, az Open Hardware Monitor-t, az OpenRGB-t, az OmenMon-t, a Panorama9-et, a SteelSeries Engine-t és a ZenTimings-et , sok más mellett.
Továbbá egyes gyártók perifériák és játékeszközök kezelésére szolgáló csomagjai korábban WinRing0-t használtak. Egy fórumokon látható valós példa egy olyan felhasználóról szól, aki a háttérben futó Razer Synapse alkalmazásba integrálta az illesztőprogramot, így a Windows Defender nem tudta közvetlenül eltávolítani azt, mert a fájl mindig „használatban” volt megjelölve.
Egy másik forgatókönyvben egy másik felhasználó elmagyarázta, hogy a WinRing0 elengedhetetlen egy akadálymentesítési alkalmazáshoz , amelynek vizuális egészségügyi okokból ideiglenesen le kellett tiltania a ditheringet. E meghajtóprogram nélkül szó szerint nem tudták használni a laptopjukat, és a Defender törölte vagy blokkolta azt anélkül, hogy lehetőséget adott volna nekik a könnyű visszaállításra.
Mindez azt jelenti, hogy a Defender definícióinak frissítése után hirtelen sok felhasználó azt tapasztalta, hogy kedvenc eszközeik nem indulnak el , ventilátoraik kontrollálatlanul elkezdenek maximális sebességgel forogni, vagy az RGB világítás rosszul van konfigurálva, mivel a mindezt irányító központi meghajtót karanténba helyezték.
Valódi biztonsági kockázatok: sebezhetőség kontra vírus
Fontos egyértelműen különbséget tenni a fogalmak között: a WinRing0 nem zsarolóvírus vagy tipikus banki trójai , hanem egy sebezhető vezérlő, amelyet a rosszindulatú programok kihasználhatnak a rendszer feletti irányítás könnyebb átvételére, mint azt meg kellene engedni.
A rendszerbe betöltve a WinRing0 korlátlan hozzáférést biztosít a védett erőforrásokhoz . Ez lehetővé teszi bármely folyamat számára, hogy utasítsa az illesztőprogramot kritikus memóriacímek olvasására vagy írására, beleértve azokat a területeket is, ahol más folyamatok, titkos kódok, ideiglenes jelszavak vagy akár belső Windows kernel struktúrák találhatók.
Biztonsági szempontból ez különösen aggasztó, mivel áttöri a Windows egyik alapvető védelmét szolgáló akadályt : a felhasználói tér és a kernel tér közötti elkülönítést. A WinRing0-t kihasználó sérülékenység számos szokásos védelmet megkerülhet anélkül, hogy magát az operációs rendszert kellene veszélyeztetnie.
Ezért a Microsoft úgy döntött, hogy a WinRing0 aláíratlan vagy sebezhető verzióit „hacktool”-ként vagy veszélyes illesztőprogramként kezeli . Ugyanezen okból kifolyólag számos szakértő azt javasolja, hogy amikor csak lehetséges, kerüljük el, vagy legalábbis nagyon specifikus és ellenőrzött helyzetekre korlátozzuk a használatát, például laboratóriumi gépeken vagy olyan környezetekben, ahol a kockázat elfogadható.
Azonban az a tény, hogy a Defender WinRing0-t jelöl, nem jelenti automatikusan azt, hogy ellopták a jelszavait, telepítettek egy billentyűnaplózót, vagy titkosították a fájljait . A legtöbb esetben az észlelés azért történik, mert egy már telepített legitim alkalmazás használja az adott illesztőprogramot, és ami megváltozott, az a Microsoft kritériumai, nem pedig a felhasználó viselkedése.
Miért blokkolja most a Windows, és mi köze ehhez a CrowdStrike-nak?
Sokan kíváncsiak arra, hogy ha a WinRing0 évek óta sebezhető, akkor a Defender miért csak most kezdte el ilyen agresszívan blokkolni . Nincs egyetlen hivatalos válasz sem, de számos jel segít megérteni a kontextust.
Egyrészt a Microsoft már egy ideje szigorítja a kernel-illesztőprogramokra vonatkozó biztonsági szabályzatait . Az olyan nagy hatású incidenseket követően, mint a CrowdStrike sebezhetőség, amely egy biztonsági frissítés hibája miatt világszerte megbénította a rendszereket, fokozódott a nyomás annak korlátozására, hogy milyen típusú szoftverek futtathatók ilyen mély jogosultságokkal.
Továbbá a Microsoft már évek óta megköveteli, hogy a kernelhez hozzáférő illesztőprogramokat digitálisan aláírják egy speciális kernel aláíró tanúsítvánnyal. Ennek a tanúsítványnak a megszerzéséhez elismert vállalatnak kell lennie, és fizetnie kell az aláírásért, ami ismétlődő költségekkel jár – ami a nagyvállalatok számára kezelhető, de sok nyílt forráskódú projekt számára nehézkes.
A WinRing0, lévén egy széles körben használt nyílt forráskódú függvénykönyvtár , idővel javításokat és fejlesztéseket kapott, de minden új verziót felül kell vizsgálni és alá kell írni ahhoz, hogy a Windows megbízhatónak tekinthesse. Különböző fejlesztők szerint az elmúlt években többször is javításokat kapott, de a helyzet tarthatatlanná válik, ha a Microsoft úgy dönt, hogy leállítja az új verziók aláírását, vagy a meghajtóprogram alapjául szolgáló filozófiát túl kockázatosnak ítéli.
Valójában maga a Microsoft is elismerte, hogy tudomása van olyan jelentésekről, amelyek szerint játék- és monitorozó alkalmazásokat fenyegetésként jelöltek meg a WinRing0 aláíratlan verzióinak használata miatt. Miközben kijelentették, hogy folytatják a vizsgálatot, azt is tisztázták, hogy a Defender továbbra is fenyegetésként kezeli az aláíratlan illesztőprogramokat, és hogy felülvizsgálják az észlelési logikát a téves riasztások elkerülése érdekében, a hosszú távú védelem veszélyeztetése nélkül.
A felhasználókra gyakorolt hatás: őrült ventilátorok, hibás RGB-világítás és nem induló alkalmazások
Az átlagfelhasználó számára a leglátványosabb hatás az, hogy egyik napról a másikra számos hardvervezérlő eszköz működésképtelenné válik . A Defender észleli a WinRing0 vírust, karanténba helyezi vagy törli azt, és ezzel leállítja a programok egy alapvető részét.
Egyes rendszereken, amint a WinRing0 eltűnik, a ventilátorok teljes sebességgel forogni kezdenek szabályozás nélkül, mivel az azokat kezelő alkalmazás már nem tud kommunikálni az érzékelőkkel vagy az alaplap vezérlőjével. Másokon az RGB világítás lefagy vagy konfigurálatlanná válik, vagy az érintett alkalmazások egyszerűen bezáródnak, amint megnyílnak.
Előfordulnak olyan felhasználók is, akik a Defender riasztó nevekkel – például VulnerableDriver:WinNT/Winring0.G vagy Hacktool:Win32/WinRing0 – ellátott figyelmeztetéseinek láttán azt feltételezték, hogy számítógépüket egy különösen kifinomult trójai vírus támadta meg . Egyesek még a Windows újratelepítését is fontolóra vették a távoli hozzáféréstől, a billentyűleütés-figyelőktől és más hasonló rémálmoktól tartva.
Egy fórumokon jelentett esetben egy felhasználó észlelte a Razer szoftverhez kapcsolódó fájlban a hibát, megpróbálta törölni, de a Windows megakadályozta ebben, mert azt egy másik program "használatban" tartotta. A Defender többször is megpróbálta törölni a fájlt, sikertelenül. Csak akkor tudta a víruskereső törölni a fájlt, amikor manuálisan bezárta a kapcsolódó folyamatot a Feladatkezelőből, és akkor szűnt meg a probléma.
Egy másik esetben egy látszólag blokkolt távoli hozzáférési kísérlet után a felhasználó WinRing0 vírus észlelésével találkozott, és egy magas szintű trójai vírusra gyanakodott. Biztonságos módban indította el a számítógépét, és teljes vizsgálatot futtatott le , sőt, komolyan fontolóra vette a rendszer formázását is. Bár ilyen esetekben mindig ajánlott az óvatosság, nem feltétlenül volt szükséges ebbe a szélsőségbe esni, ha a tényleges forrás egy jól ismert eszköz illesztőprogramja volt.
Lehetőségek a programok további használatára: kizárások és alternatívák
Ha feltétlenül szüksége van az érintett alkalmazások bármelyikére (például egy fejlett felügyeleti eszközre, ventilátorvezérlőre, RGB szoftverre vagy akár egy kritikus akadálymentesítési alkalmazásra), számos lehetősége van, mindegyiknek megvannak a maga következményei. Nincs tökéletes megoldás , csak különböző módszerek vannak a kockázat és a kényelem egyensúlyozására.
Az első lehetőség az alkalmazás frissítéseinek keresése . Egyes fejlesztők elkezdtek új verziókat kiadni, amelyek eltávolítják a WinRing0-t, vagy egy saját vagy más illesztőprogrammal helyettesítik azt, bár sok esetben ez hónapokig tartó munkát és jelentős költségeket igényel.
Például a SignalRGB elmagyarázta, hogy 2023-ban felhagytak a WinRing0 használatával , és kifejlesztették a saját SMBus illesztőprogramjukat, pontosan azért, hogy elkerüljék a rendszerszintű illesztőprogramra való támaszkodást, amely sebezhető lehet, vagy ütközhet más szoftververziókkal. Maguk is elismerik, hogy a folyamat nehézkes volt, és jelentős mérnöki erőforrásokat igényelt.
Egy másik lehetőség az, hogy olyan alternatív eszközökre váltunk , amelyek már nem függnek a WinRing0-tól. Léteznek olyan hardverfigyelő és -kezelő segédprogramok, amelyek alkalmazkodtak az új kernel aláírási követelményekhez, és más illesztőprogramokra váltottak, bár néha elveszítenek néhány fejlett funkciót a folyamat során.
Harmadszor, egyes fejlesztők és felhasználók óvatosan javasolják egy kizárás hozzáadását a Microsoft Defenderben , hogy a WinRing0 továbbra is működhessen. Ez a lehetőség magában foglalja annak kockázatát, hogy egy sebezhető illesztőprogramot megtart a rendszeren, ezért gondosan mérlegelni kell, különösen az érzékeny adatokat tartalmazó vagy folyamatos internet-hozzáféréssel rendelkező számítógépeken.
WinRing0 kizárás hozzáadása a Microsoft Defenderben (saját felelősségre)
Mielőtt belemennénk a részletekbe, fontos hangsúlyozni, amit a Microsoft hivatalosan is kijelent: minden olyan változtatást, amely csökkenti a biztonságot vagy letiltja a védelmeket, gondosan mérlegelni kell . Ezek az intézkedések hasznosak lehetnek egy adott probléma ideiglenes megoldásaként, de mindig további kockázatvállalással járnak.
Ha úgy dönt, hogy folytatja, mert feltétlenül szüksége van egy WinRing0-t használó alkalmazásra (például egy túlmelegedő számítógép ventilátorainak vezérléséhez vagy akadálymentesítési követelmény miatt), hozzáadhat egy kizárást a Microsoft Defender Antivirusban, hogy megakadályozza a kapcsolódó fájl vagy mappa blokkolását.
A Windows 10 és a Windows 11 általános lépései a következők:
- Nyissa meg az alkalmazást Windows biztonság a Start > Beállítások > Frissítés és biztonság > Windows biztonság menüpontban, vagy a Start menüben keresve.
- A fő panelen lépjen be a szakaszba Vírusok és fenyegetések elleni védelem.
- A Vírus- és fenyegetésvédelmi beállítások részben kattintson a Kezelje a beállításokat.
- Görgess lejjebb, amíg el nem éred a blokkot kizárások és válassza a „Kizárások hozzáadása vagy eltávolítása” lehetőséget.
- Kattintson a Adjon hozzá egy kizárást Ezután válassza ki, hogy egy adott fájlt, egy teljes mappát vagy egy folyamatot szeretne-e kizárni. Ezután válassza ki a WinRing0-hoz vagy az érintett alkalmazáshoz kapcsolódó elemet.
Ettől a ponttól kezdve a Defender leállítja a kizárási listához hozzáadott elemek szkennelését és blokkolását. Ez megoldhatja a hardverhibákat, de egyben vakfoltot is hoz létre a védelemben, ezért csak akkor szabad megtenni, ha pontosan tudja, hogy mit zár ki és miért.
Ha kétségei vannak azzal kapcsolatban, hogy az észlelt fenyegetés valóban csak a sebezhető illesztőprogram-e, vagy esetleg van valami más is a rendszerén, érdemes további vizsgálatokat futtatni más kártevőirtó megoldásokkal, áttekinteni a nemrég telepített programokat, és szükség esetén segítséget kérni speciális fórumokon, mielőtt fizikailag megnyitná az ajtót a potenciális kártevők előtt.
Mi a teendő, ha a Defender nem törli a WinRing0-t, vagy folyamatosan észleli azt?
Bizonyos esetekben a Windows Defender ismételten megpróbálhatja eltávolítani a WinRing0 fájlt sikertelenül, mivel a fájlt egy háttérben futó program használja. Ez figyelmeztetések és eltávolítási kísérletek sorozatát okozza, amelyek sehová sem vezetnek, miközben a felhasználó ismételten látja az aktív fenyegetésről szóló riasztást.
A leggyakoribb ok az, hogy az illesztőprogramot használó alkalmazás jelenleg meg van nyitva, vagy van benne egy rezidens szolgáltatás. Ebben az esetben manuálisan kell bezárni a programot és a hozzá tartozó folyamatokat, mielőtt a víruskereső működhetne. Ezt a Feladatkezelő segítségével teheti meg:
- Nyissa meg a Feladatkezelő (Ctrl+Shift+Esc vagy kattintson a jobb gombbal a tálcára > Feladatkezelő).
- Keresd meg a kapcsolódó alkalmazás fő folyamatát (pl. Razer szoftver, RGB eszközök stb.), és állítsd le.
- Ellenőrizze a háttérfolyamatok fület is, hátha vannak ugyanahhoz a programhoz kapcsolódó szolgáltatások.
Miután leállított mindent, ami a WinRing0-tól függ, futtassa újra a vizsgálatot és eltávolítást a Windows Defenderből . Több vélemény is azt mutatja, hogy ez lehetővé tette a víruskereső számára, hogy a Windows újratelepítése vagy bármilyen drasztikusabb intézkedés megtétele nélkül törölje az észlelést.
Ha az észlelés ismétlődik, előfordulhat, hogy az alkalmazás minden indításkor újratelepíti vagy újragenerálja az illesztőprogramot . Ebben az esetben el kell döntenie, hogy teljesen eltávolítja-e a programot, keres egy frissített verziót, amely nem használja a WinRing0-t, vagy kizárást használ (saját felelősségére) az állandó ütközés elkerülése érdekében.
Visszajelzés a Microsoftnak és a fejlesztők álláspontja
A WinRing0 kezelésének változása jelentős aggodalmat keltett a fejlesztők és a haladó felhasználók körében, mivel közvetlenül befolyásolja a harmadik féltől származó hardverfigyelés és -vezérlés szinte teljes ökoszisztémáját, különösen a nyílt forráskódú projekteket, amelyek az ilyen típusú illesztőprogramoktól függenek.
Az olyan eszközök fejlesztői, mint a HWiNFO vagy a Fan Control, elmagyarázták, hogy az illesztőprogram cseréje nem egy egyszerű apró frissítés , hanem a program nagy részének újraindítását jelenti, ami jelentős idő- és pénzköltséggel jár, mindezt évek munkájának és ezeknek az eszközöknek a köré épített hírnévnek köszönhetően.
A Microsoft csak annyit nyilatkozott, hogy tisztában vannak a téves pozitív jelentésekkel , és újraértékelik az észlelési logikájukat annak finomítása érdekében, ugyanakkor ragaszkodnak ahhoz, hogy az aláíratlan vagy potenciálisan sebezhető illesztőprogramokat továbbra is fenyegetésként kezeljék a hosszú távú kockázat csökkentése érdekében.
Erre a helyzetre reagálva egy különös szereplő lépett a színre: az iBuyPower, egy előre összeszerelt gamer PC-iről ismert cég. Termékmenedzserük szerint megpróbálnak beszerezni egy frissített, a Microsoft által digitálisan aláírt WinRing0 verziót . Tervük az, hogy ha sikerül, megosztják ezt az aláírt könyvtárat a fejlesztői közösséggel, hogy érvényesített illesztőprogrammal ellátott alkalmazásaik verzióit terjeszthessék.
Még ha meg is érkezne az aláírt verzió, az alapvető probléma továbbra is fennállna: a WinRing0 megtartaná a nagyon széles kernel-hozzáféréssel járó alapvető kialakítását , így ha egy rosszindulatú programnak sikerülne meghamisítania vagy kihasználnia azt, akkor is kockázatot jelentene. Sok szakértő úgy véli, hogy az egyetlen megbízható megoldás az új, teljesen új illesztőprogramokra való áttérés, szigorúbb korlátozásokkal és modernebb biztonsági modellel.
Visszajelzés küldése és a visszajelzés szintjének szabályozása Windows rendszerben
Ha Önt is érintik ezek az észlelések, és úgy gondolja, hogy a Microsoftnak finomítania kellene a megközelítésén, közvetlenül a Windowsból küldhet visszajelzést . Maga a vállalat is ösztönzi a beépített eszközök használatát a Defenderrel és más rendszerösszetevőkkel kapcsolatos problémák jelentésére.
Egyrészt a Windows úgy van beállítva, hogy rendszeresen automatikusan visszajelzést kérjen. Ha ellenőrizni vagy módosítani szeretné ezt az automatikus visszajelzési beállítást, az alábbiak szerint teheti meg:
- Menj ide Kezdőlap > Beállítások > Adatvédelem és biztonság > Diagnosztika és visszajelzés.
- A Visszajelzés gyakorisága részben győződjön meg arról, hogy az „Automatikusan (ajánlott)” értékre van állítva, ha azt szeretné, hogy a Windows rendszeresen kérjen visszajelzést.
Másrészt manuálisan is elküldheti visszajelzését a Visszajelzési Központon keresztül , amikor csak szeretné, anélkül, hogy meg kellene várnia, amíg a rendszer kéri Öntől:
- Írd be a „Visszajelzési központ” kifejezést a tálcán található keresőmezőbe, és nyisd meg.
- Az alkalmazáson belül lépjen a következő részre: Comments és válaszd az „Új hozzászólás hozzáadása” lehetőséget.
- Válasszon egy releváns kategóriát, például „Biztonság, adatvédelem és fiókok > Microsoft Defender víruskereső Windows rendszerhez”.
Ily módon a WinRing0 hibával, a téves riasztásokkal vagy a jogos illesztőprogramok kezelésével kapcsolatos nehézségekkel kapcsolatos tapasztalatai rögzítésre kerülnek, és segíthetnek a Microsoftnak a szabályzat és az észlelési eszközök jövőbeli verzióiban történő módosításában, legalábbis elméletileg.
A diagnosztikai és visszajelzési beállítások lehetővé teszik annak szabályozását is, hogy milyen adatokat küldjön a Microsoftnak , és milyen részletességgel, ami fontos, ha aggódik az adatvédelem miatt. Ugyanebben a beállítások részben áttekintheti az elérhető beállításokat, és ízlésének megfelelően módosíthatja azokat.
A WinRing0 jelenlegi helyzete a funkcionalitás és a biztonság közötti évekig tartó kompromisszumok eredménye: egy nagyon hasznos illesztőprogram az alacsony szintű hardverek eléréséhez , amely egy potenciálisan kihasználható sebezhetőséget is jelent, és most a Microsoft Defender célpontjává vált. Ha riasztást kapott, az valószínűleg egy telepített figyelőeszköz, ventilátorvezérlő szoftver vagy RGB-szoftver miatt van, és nem feltétlenül egy újonnan érkezett agresszív trójai vírus miatt. Innentől kezdve a döntése az lesz, hogy frissíti vagy módosítja a szoftvert, amikor lehetséges, felméri, hogy érdemes-e megtartani a WinRing0-t kizárások létrehozásával és a kockázat elfogadásával, vagy egyszerűen eltávolítja, hogy szigorúbb biztonságot biztosítson a rendszerén.