כיצד להסיר את WinRing0 מ-Windows ולקבוע אם מדובר באמת בווירוס

חדשות גאדג'טים » כללי » מדריכים » כיצד להסיר את WinRing0 מ-Windows ולקבוע אם זה באמת וירוס

אם אתם משתמשים ב-Windows 10 או Windows 11 ולפתע קיבלתם התראה מ-Microsoft Defender לגבי משהו בשם HackTool:Win32/WinRing0 או VulnerableDriver:WinNT/Winring0.G , מובן שאתם מודאגים וחושבים שיש לכם סוס טרויאני רציני במחשב. וכדי להחמיר את המצב, ייתכן שכלי הניטור, המאווררים או תאורת ה-RGB שלכם הפסיקו לפעול לפתע.

הדבר הראשון שכדאי לדעת הוא שברוב המקרים, אינכם מתמודדים עם וירוס טיפוסי שמדביק קבצים או מצפין את הכונן הקשיח שלכם , אלא עם מנהל התקן עם פגיעות ידועה ש-Windows החליטה לחסום באגרסיביות. אין זה אומר שזה לא מזיק לחלוטין, אבל זה משנה באופן משמעותי את האופן שבו אתם ניגשים אליו ומחליטים אם כדאי לשמור אותו פעיל או לא.

מהו WinRing0 ומדוע Windows Defender מזהה אותו כאיום?

WinRing0 הוא מנהל התקן לגישה לחומרה ברמה נמוכה (low-level) המשמש מזה שנים ביישומי ניטור ובקרה רבים של מחשבים אישיים. זוהי ספרייה/מנהל התקן המאפשרת לתוכנית לתקשר כמעט ישירות עם ליבת Windows ועם רכיבי לוח אם מסוימים, תוך עקיפת שכבות הגנה רבות.

הודות לגישה עמוקה זו, WinRing0 הפך פופולרי מאוד בקרב יישומי צד שלישי שצריכים לקרוא חיישנים, לנהל מהירויות מאווררים, לשלוט בתאורת RGB או לכוונן פרמטרי מערכת. זוהי אחת האפשרויות החינמיות והקוד הפתוח הבודדות המאפשרות אינטראקציה הדוקה כזו עם החומרה.

הבעיה היא שבשנת 2020, מנהל ההתקן WinRing0 רשום כנקודת תורפה אבטחתית, CVE-2020-14979 . נקודת תורפה זו מאפשרת לכל יישום (גם ללא הרשאות מנהל מערכת) לבקש אישור לקרוא או לכתוב לאזורים מוגנים בזיכרון המערכת לאחר טעינת מנהל ההתקן למערכת, מה שפותח את הדלת להסלמת הרשאות או מניפולציה של תהליכים קריטיים.

מסיבה זו, מיקרוסופט החליטה שמנהלי התקנים לא חתומים או לא בטוחים של WinRing0 יסומנו ב-Defender כתוכנות שעלולות להיות מסוכנות, ויופיעו תחת זיהויים כגון Hacktool:Win32/Winring0 או VulnerableDriver:WinNT/Winring0.G. מבחינה טכנית, הזיהוי לגיטימי: למנהל ההתקן יש פגיעות ממשית וניתן לנצל אותו על ידי תוכנות זדוניות.

זה לא אומר שהעותק הספציפי שלך של WinRing0 הוא וירוס, אלא שיש לו יכולות שתוכנות זדוניות עלולות לנצל . מכאן הבלבול: אותו שם משמש גם את מנהל ההתקן הלגיטימי וגם איומים מסוימים שמסתירים את עצמם מאחוריו כדי להימנע מגילוי.

יישומים וכלים התלויים ב-WinRing0

אחת הסיבות לכך שבעיה זו עוררה כל כך הרבה סערה היא שיישומים פופולריים רבים מסתמכים על WinRing0 כדי לתפקד כראוי. עם החמרת מדיניות Microsoft Defender, כל היישומים הללו הושפעו מזיהויים, חסימות והתנהגות חריגה במחשבי המשתמשים.

בין הכלים המושפעים ביותר נמצאות תוכנות רבות לניטור חומרה, משחקים ותוכניות שירות לניהול RGB או מאווררים. דוחות ועדויות שונות מזכירות, לדוגמה, את CapFrameX, EVGA Precision X1 (גרסאות ישנות יותר), FanCtrl, HWiNFO, Libre Hardware Monitor, MSI Afterburner, Open Hardware Monitor, OpenRGB, OmenMon, Panorama9, SteelSeries Engine ו-ZenTimings , בין רבים אחרים.

יתר על כן, חלק מסוויטות הניהול של ציוד היקפי וציוד משחקים של יצרנים השתמשו בעבר ב-WinRing0. דוגמה מהעולם האמיתי שנראתה בפורומים כוללת משתמש שהדרייבר שלו שילב באפליקציית Razer Synapse שפעלה ברקע, מה שמנע מ-Windows Defender להסיר אותו ישירות מכיוון שהקובץ תמיד סומן כ"בשימוש".

בתרחיש אחר, משתמש אחר הסביר ש-WinRing0 חיוני עבור יישום נגישות שהיה צריך להשבית זמנית את השינוי בהגדרות המסך מסיבות של בריאות הראייה. ללא מנהל ההתקן הזה, הם פשוט לא יכלו להשתמש במחשב הנייד שלהם, ו-Defender היה מוחק או חוסם אותו מבלי לתת להם אפשרות לשחזר אותו בקלות.

כל זה אומר שלפתע, לאחר עדכון להגדרות של Defender, משתמשים רבים גילו שהכלים האהובים עליהם מפסיקים לפעול , המאווררים שלהם מתחילים להסתובב במהירות מרבית ללא שליטה, או שתאורת ה-RGB מוגדרת בצורה שגויה, מכיוון שהמנהל המרכזי שמנהל את כל זה הושם בבידוד.

סיכוני אבטחה אמיתיים: פגיעות לעומת וירוס

חשוב להבחין בבירור בין המושגים: WinRing0 אינו תוכנת כופר או טרויאני בנקאי טיפוסי , אלא זהו בקר פגיע שניתן לנצל אותו על ידי תוכנות זדוניות כדי להשתלט על המערכת בקלות רבה יותר ממה שצריך לאפשר.

כאשר WinRing0 נטען למערכת, הוא מספק גישה בלתי מוגבלת למשאבים מוגנים . זה מאפשר לכל תהליך להורות למנהל ההתקן לקרוא או לכתוב לכתובות זיכרון קריטיות, כולל אזורים שבהם נמצאים תהליכים אחרים, סודות, סיסמאות זמניות או אפילו מבני ליבה פנימיים של Windows.

מנקודת מבט ביטחונית, זה מדאיג במיוחד משום שזה שובר את אחד המחסומים הבסיסיים המגנים על Windows : ההפרדה בין מרחב המשתמש למרחב הליבה. ניצול לרעה של WinRing0 יכול לעקוף רבות מההגנות הרגילות מבלי לפגוע במערכת ההפעלה עצמה.

זו הסיבה ש-Microsoft בחרה להתייחס לגרסאות לא חתומות או פגיעות של WinRing0 כאל "כלי פריצה" או מנהל התקן מסוכן . ומסיבה זהה, מומחים רבים ממליצים להימנע ממנו ככל האפשר, או לפחות להגביל את השימוש בו למצבים ספציפיים ומבוקרים מאוד, כגון במכונות מעבדה או בסביבות בהן הסיכון מקובל.

עם זאת, העובדה ש-Defender מסמן את WinRing0 אינה אומרת באופן אוטומטי שהסיסמאות שלך נגנבו, תוכנת keylogger הותקנה או שהקבצים שלך הוצפנו . ברוב המקרים, הזיהוי מתרחש מכיוון שאפליקציה לגיטימית שכבר הייתה מותקנת משתמשת במנהל התקן זה, ומה שהשתנה הם הקריטריונים של מיקרוסופט, לא ההתנהגות שלך.

למה Windows חוסם את זה עכשיו, ומה הקשר של CrowdStrike לזה?

אנשים רבים תהו מדוע, אם WinRing0 היה פגיע במשך שנים, Defender החל לחסום אותו בצורה כה אגרסיבית רק עכשיו . אין תשובה רשמית אחת חד משמעית, אך ישנם מספר רמזים שעוזרים להבין את ההקשר.

מצד אחד, מיקרוסופט מחמירה את מדיניות האבטחה שלה עבור מנהלי התקנים של ליבה מזה זמן מה . בעקבות אירועים בעלי השפעה גבוהה כמו פגיעות CrowdStrike, ששיתקה מערכות ברחבי העולם עקב פגם בעדכון אבטחה, גבר הלחץ להגביל את סוגי התוכנות שיכולות לפעול עם הרשאות כה עמוקות.

יתר על כן, מזה מספר שנים, מיקרוסופט דורשת שמנהלי התקנים הניגשים לליבה יהיו חתומים דיגיטלית באמצעות תעודת חתימה ספציפית של הליבה. קבלת תעודה זו דורשת היותך חברה מוכרת ותשלום עבור החתימה, דבר הגורר עלות חוזרת - דבר שניתן לנהל עבור חברות גדולות אך קשה עבור פרויקטים רבים בקוד פתוח.

WinRing0, בהיותה ספריית קוד פתוח נפוצה , קיבלה תיקונים ושיפורים לאורך זמן, אך כל גרסה חדשה חייבת להיבדק ולעבור חתימה על Windows כדי שהיא נחשבת אמינה. לדברי מפתחים שונים, היא תוקנה מספר פעמים בשנים האחרונות, אך המצב הפך לבלתי נסבל אם מיקרוסופט תחליט להפסיק לחתום על גרסאות חדשות או תראה את הפילוסופיה הבסיסית של הדרייבר מסוכנת מדי.

למעשה, מיקרוסופט עצמה הודתה שהיא מודעת לדיווחים על יישומי משחקים וניטור שסומנו כאיומים עקב שימוש בגרסאות לא חתומות של WinRing0. בעוד שהצהירה כי היא ממשיכה בחקירה, היא גם הבהירה כי Defender תמשיך להתייחס למנהלי התקנים לא חתומים כאיומים וכי היא בודקת את לוגיקת הזיהוי כדי למנוע תוצאות חיוביות שגויות, מבלי לפגוע בהגנה לטווח ארוך.

ההשפעה על המשתמשים: מאווררים מטורפים, תאורת RGB מקולקלת ואפליקציות שלא נפתחות

ההשפעה הבולטת ביותר עבור המשתמש הממוצע היא שבלילה, כלי בקרת חומרה רבים מפסיקים לפעול . Defender מזהה את WinRing0, מכניס אותו להסגר או מוחק אותו, ובכך, הוא מסיר חלק מרכזי מאותן תוכנות.

במערכות מסוימות, ברגע ש-WinRing0 נעלם, המאווררים מסתובבים במהירות מלאה ללא ויסות מכיוון שהאפליקציה שניהלה אותם כבר לא יכולה לתקשר עם החיישנים או עם בקר לוח האם. באחרות, תאורת ה-RGB קופאת או הופכת ללא מוגדרת, או שהאפליקציות המושפעות פשוט נסגרות ברגע שהן נפתחות.

ישנם גם מקרים של משתמשים שראו את האזהרה של Defender עם שמות מדאיגים כמו VulnerableDriver:WinNT/Winring0.G או Hacktool:Win32/WinRing0, והניחו שהמחשב שלהם נפרץ על ידי סוס טרויאני מתוחכם במיוחד . חלקם אף שקלו להתקין מחדש את Windows מאפס מחשש לגישה מרחוק, keyloggers וסיוטים דומים אחרים.

במקרה שדווח בפורומים, משתמש ראה זיהוי בקובץ המקושר לתוכנת Razer, ניסה למחוק אותו, ו-Windows מנע ממנו לעשות זאת מכיוון שהוא היה "בשימוש" על ידי תוכנית אחרת. Defender ניסה למחוק אותו שוב ושוב ללא הצלחה. רק כאשר הוא סגר ידנית את התהליך הקשור ממנהל המשימות, האנטי-וירוס הצליח למחוק את הקובץ, והבעיה נעלמה.

במקרה אחר, לאחר ניסיון גישה מרחוק שנראה כחסום, משתמש נתקל בזיהוי של WinRing0 וחשד בסוס טרויאני ברמה גבוהה. הוא הפעיל את המחשב במצב בטוח והפעיל סריקה מלאה , ואף שקל ברצינות לאתחל את המערכת. אמנם זהירות תמיד מומלצת במקרים כאלה, אך לא בהכרח היה צורך ללכת לקיצוניות כזו אם המקור בפועל היה מנהל התקן של כלי ידוע.

אפשרויות להמשך השימוש בתוכניות שלך: החרגות וחלופות

אם אתם ממש זקוקים לאחת מהאפליקציות המושפעות (לדוגמה, כלי ניטור מתקדם, בקר מאווררים, תוכנת RGB או אפילו אפליקציית נגישות קריטית), יש לכם מספר אפשרויות, לכל אחת השלכות משלה. אין פתרון מושלם , אלא דרכים שונות לאזן בין סיכון לנוחות.

האפשרות הראשונה היא לחפש עדכונים לאפליקציה עצמה . חלק מהמפתחים החלו לשחרר גרסאות חדשות שמבטלות את WinRing0 או מחליפות אותו בדרייבר קנייני או אחר, אם כי במקרים רבים זה כרוך בחודשי עבודה ועלות ניכרת.

לדוגמה, SignalRGB הסבירו כי הפסיקו להשתמש ב-WinRing0 בשנת 2023 ופיתחו דרייבר SMBus משלהם, דווקא כדי להימנע מהסתמכות על דרייבר ברמת המערכת שעלול להיות פגיע או להתנגש עם גרסאות תוכנה אחרות. הם עצמם מודים שהתהליך היה קשה ודרש משאבי הנדסה משמעותיים.

אפשרות נוספת היא לעבור לכלי עזר חלופיים שכבר אינם תלויים ב-WinRing0. ישנם כלי עזר לניטור וניהול חומרה שהתאימו את עצמם לדרישות חתימת הליבה החדשות ועברו למנהלי התקנים אחרים, אם כי לעיתים הם מאבדים כמה תכונות מתקדמות בתהליך.

שלישית, חלק מהמפתחים והמשתמשים ממליצים בזהירות להוסיף אי הכללה ב-Microsoft Defender כדי לאפשר ל-WinRing0 להמשיך לתפקד. אפשרות זו כרוכה בקבלת הסיכון של השארת מנהל התקן פגיע במערכת, לכן יש לשקול זאת בזהירות, במיוחד במחשבים עם נתונים רגישים או כאלה עם גישה רציפה לאינטרנט.

כיצד להוסיף אי הכללה של WinRing0 ב-Microsoft Defender (על אחריותך בלבד)

לפני שנכנס לפרטים, חשוב להדגיש את מה ש-Microsoft מצהירה רשמית: כל שינוי שמפחית את האבטחה או משבית הגנות צריך להיבחן בקפידה . אמצעים אלה עשויים להיות שימושיים כפתרון זמני לבעיה ספציפית, אך הם תמיד כרוכים בלקיחת סיכון נוסף.

אם תחליט להמשיך מכיוון שאתה בהחלט זקוק ליישום המשתמש ב-WinRing0 (לדוגמה, כדי לשלוט במאווררים במחשב שמתחמם יתר על המידה או לצורך דרישת נגישות), תוכל להוסיף החרגה ב-Microsoft Defender Antivirus כדי למנוע ממנו לחסום את הקובץ או התיקייה הרלוונטית.

השלבים הכלליים ב-Windows 10 וב-Windows 11 הם כדלקמן:

• פתח את האפליקציה אבטחת חלונות מתוך התחל > הגדרות > עדכון ואבטחה > אבטחת Windows, או על ידי חיפוש אותו בתפריט התחל.
• בלוח הראשי, הזן את הקטע הגנה מפני וירוסים ואיומים.
• במקטע הגדרות הגנה מפני וירוסים ואיומים, לחצו על נהל הגדרות.
• גללו למטה עד שתגיעו לבלוק אי הכללות ובחר "הוסף או הסר אי הכללות".
• לחץ על הוסף הדרה לאחר מכן בחר אם ברצונך לא לכלול קובץ ספציפי, תיקייה שלמה או תהליך. לאחר מכן, בחר את הפריט הקשור ל-WinRing0 או ליישום המושפע.

מנקודה זו ואילך, Defender יפסיק לסרוק ולחסום כל דבר שהוספתם לרשימת האי-הכללות. פעולה זו יכולה לפתור תקלות חומרה, אך היא גם יוצרת נקודה מתה בהגנה שלכם, לכן יש לעשות זאת רק כאשר אתם יודעים בדיוק מה אתם שוללים ומדוע.

אם יש לכם ספקות האם האיום שזוהה הוא אכן רק מנהל ההתקן הפגיע או שאולי קיים משהו אחר במערכת שלכם, מומלץ להפעיל סריקות נוספות עם פתרונות אנטי-וירוס אחרים, לסקור תוכנות שהותקנו לאחרונה, ובמידת הצורך, לבקש עזרה בפורומים ייעודיים לפני פתיחת הדלת פיזית לתוכנות זדוניות פוטנציאליות.

מה לעשות אם Defender לא מוחק את WinRing0 או מזהה אותו באופן רציף

במקרים מסוימים, Windows Defender עשוי לנסות שוב ושוב להסיר את WinRing0 ללא הצלחה מכיוון שהקובץ נמצא בשימוש על ידי תוכנית ברקע. זה גורם ללולאה של אזהרות וניסיונות הסרה שלא מובילה לשום מקום, בעוד שהמשתמש רואה שוב ושוב את התראת האיום הפעיל.

הסיבה הנפוצה ביותר היא שהאפליקציה המשתמשת במנהל ההתקן פתוחה כעת או שיש לה שירות תושב. במצב זה, עליך לסגור ידנית את התוכנית ואת התהליכים הקשורים אליה לפני שהאנטי-וירוס יוכל לפעול. ניתן לעשות זאת באמצעות מנהל המשימות:

• פתח את מנהל המשימות (Ctrl+Shift+Esc או לחיצה ימנית על שורת המשימות > מנהל המשימות).
• מצא את התהליך הראשי של האפליקציה הרלוונטית (למשל, תוכנת Razer, כלי RGB וכו') וסגור אותו.
• בדוק גם את לשונית תהליכי הרקע במקרה שיש שירותים המקושרים לאותה תוכנית.

לאחר שעצרתם את כל מה שתלוי ב-WinRing0, הפעילו שוב את הסריקה וההסרה מתוך Windows Defender . ביותר מעדות אחת, פעולה זו אפשרה לאנטי-וירוס לנקות את הזיהוי מבלי שיהיה צורך להתקין מחדש את Windows או לנקוט באמצעים דרסטיים יותר.

אם הזיהוי ממשיך לחזור על עצמו, ייתכן שהאפליקציה מתקינה מחדש או יוצרת מחדש את מנהל ההתקן בכל פעם שהיא מופעלת. במקרה כזה, תצטרכו להחליט אם להסיר את התקנת התוכנית לחלוטין, למצוא גרסה מעודכנת שאינה משתמשת ב-WinRing0, או להשתמש בהדרה (על אחריותכם בלבד) כדי להימנע מהתנגשות מתמשכת זו.

משוב למיקרוסופט ועמדת המפתחים

השינוי בטיפול ב-WinRing0 יצר אי נוחות ניכרת בקרב מפתחים ומשתמשים מתקדמים, משום שהוא משפיע ישירות כמעט על כל המערכת האקולוגית של ניטור ובקרת חומרה של צד שלישי, במיוחד פרויקטים בקוד פתוח התלויים בדרייברים מסוג זה.

מפתחים של כלים כמו HWiNFO או Fan Control הסבירו ששינוי הדרייבר אינו עדכון קטן פשוט , אלא כרוך בביצוע מחדש של חלק גדול מהתוכנית, בעלות משמעותית בזמן ובכסף, והכל לאחר שנים של עבודה ומוניטין שנבנה סביב כלים אלה.

מיקרוסופט הגיבה רק שהיא מודעת לדיווחים החיוביים השגויים ושהיא מעריכה מחדש את לוגיקת הזיהוי שלה כדי לחדד אותה, אך במקביל מתעקשת כי מנהלי התקנים לא חתומים או פגיעים פוטנציאלית ימשיכו להיחשב כאיום כדי להפחית את הסיכון לטווח ארוך.

בתגובה למצב זה, נכנס לתמונה שחקן סקרן: iBuyPower, חברה הידועה במחשבי הגיימינג המוכנים מראש שלה. לדברי מנהל המוצר שלהם, הם מנסים להשיג גרסה מעודכנת של WinRing0 חתומה דיגיטלית על ידי מיקרוסופט . התוכנית שלהם היא שאם יצליחו, הם ישתפו את הספרייה החתומה הזו עם קהילת המפתחים כדי שיוכלו להפיץ גרסאות של היישומים שלהם עם מנהל התקן מאומת.

אפילו אם הגרסה החתומה הזו תגיע, הבעיה הבסיסית תישאר בעינה: WinRing0 ישמור על העיצוב הבסיסי שלו של גישה רחבה מאוד לגרעין , כך שאם תוכנות זדוניות יצליחו לזייף או לנצל אותה, הן עדיין יהוו סיכון. מומחים רבים מאמינים שהפתרון החזק היחיד הוא לעבור למנהלי התקנים חדשים שתוכננו מאפס, עם מגבלות מחמירות יותר ומודל אבטחה מודרני יותר.

כיצד לשלוח משוב ולשלוט ברמת המשוב ב-Windows

אם אתם מושפעים מהזיהויים הללו ומאמינים ש-Microsoft צריכה לחדד את גישתה, תוכלו לשלוח משוב ישירות מ-Windows . החברה עצמה מעודדת שימוש בכלים מובנים לדיווח על בעיות עם Defender ורכיבי מערכת אחרים.

מצד אחד, Windows מוגדר לבקש ממך משוב באופן אוטומטי מעת לעת. אם ברצונך לבדוק או להתאים את הגדרת המשוב האוטומטי הזו, תוכל לעשות זאת באופן הבא:

• לך אל דף הבית > הגדרות > פרטיות ואבטחה > אבחון ומשוב.
• במקטע תדירות משוב, ודא שהוא מוגדר ל"אוטומטי (מומלץ)" אם ברצונך ש-Windows יבקש את המשוב שלך מעת לעת.

מצד שני, ניתן גם לשלוח את המשוב שלך באופן ידני דרך מרכז המשוב בכל עת שתרצו, מבלי להמתין שהמערכת תבקש מכם:

• הקלד "מרכז משוב" בתיבת החיפוש בשורת המשימות ופתח אותה.
• בתוך האפליקציה, עבור אל הסעיף תגובות ובחר "הוסף תגובה חדשה".
• בחר קטגוריה רלוונטית, לדוגמה "אבטחה, פרטיות וחשבונות > אנטי-וירוס של Microsoft Defender עבור Windows".

בדרך זו, החוויה שלך עם WinRing0, תוצאות חיוביות שגויות או קשיים בניהול מנהלי התקנים לגיטימיים מתועדת ויכולה לסייע למיקרוסופט להתאים את המדיניות וכלי הזיהוי שלה בגרסאות עתידיות, לפחות בתיאוריה.

הגדרות האבחון והמשוב מאפשרות לך גם לשלוט באילו נתונים נשלחים למיקרוסופט ובאיזו רמת פירוט, וזה חשוב אם אתה מודאג לגבי פרטיות. בתוך אותו מקטע הגדרות, תוכל לסקור את האפשרויות הזמינות ולהתאים אותן להעדפתך.

כיום, המצב עם WinRing0 הוא תוצאה של שנים של פשרות בין פונקציונליות לאבטחה: מנהל התקן שימושי מאוד לגישה לחומרה ברמה נמוכה , המייצג גם פגיעות שעלולה להיות ניתנת לניצול וכעת מכוון על ידי Microsoft Defender. אם קיבלתם התראה, סביר להניח שמדובר בכלי ניטור, תוכנת בקרת מאווררים או תוכנת RGB שהתקנתם, ולאו דווקא סוס טרויאני אגרסיבי שהגיע לאחרונה. משם, ההחלטה שלכם תהיה לעדכן או לשנות תוכנה במידת האפשר, להעריך האם כדאי לשמור את WinRing0 על ידי יצירת החרגות וקבלת הסיכון, או פשוט להסיר אותו כדי לתעדף אבטחה מחמירה יותר במערכת שלכם.