- WinRing0は、多くのハードウェア監視・制御アプリで使用される脆弱なドライバであり、典型的なウイルスではありません。
- Microsoft Defenderは、カーネルの奥深くまでアクセスできる能力とマルウェア悪用の可能性があるため、これを脅威として警告しています。
- ユーザーは、影響を受けるアプリを更新または置き換えるか、Defenderで除外設定を追加するかを自己責任で選択できます。
- 業界はより安全で署名付きのドライバーへと移行しつつあるものの、特にオープンプロジェクトにおいては、その移行は複雑である。
Windows 10またはWindows 11を使用している場合、HackTool:Win32/WinRing0またはVulnerableDriver:WinNT/Winring0.Gというプログラムに関するMicrosoft Defenderの警告が突然表示されたとしたら、PCに深刻なトロイの木馬が感染しているのではないかと不安になるのも無理はありません。さらに悪いことに、監視ツール、ファン、RGB照明などが突然動作しなくなる可能性もあります。
まず知っておくべきことは、ほとんどの場合、ファイルを感染させたりハードドライブを暗号化したりするような典型的なウイルスではなく、Windowsが積極的にブロックするように決定した既知の脆弱性を持つドライバーであるということです。これは完全に無害という意味ではありませんが、対処方法や、アクティブにしておく価値があるかどうかを判断する方法が大きく変わります。
WinRing0とは何ですか？また、なぜWindows Defenderはこれを脅威として検出するのですか？
WinRing0は、長年にわたり数多くのPC監視・制御アプリケーションで使用されてきた低レベルのハードウェアアクセスドライバです。これは、プログラムがWindowsカーネルや特定のマザーボードコンポーネントとほぼ直接通信できるようにし、通常の保護レイヤーの多くをバイパスできるライブラリ／ドライバです。
この高度なアクセス権限のおかげで、WinRing0はセンサーの読み取り、ファン速度の管理、RGB照明の制御、システムパラメータの微調整などを必要とするサードパーティ製アプリケーションの間で非常に人気が高まっています。ハードウェアとのこのような密接なやり取りを可能にする、数少ない無料のオープンソースオプションの一つです。
問題は、2020年にWinRing0ドライバがセキュリティ脆弱性（CVE-2020-14979 ）としてリストアップされたことです。この脆弱性により、ドライバがシステムにロードされると、管理者権限を持たないアプリケーションでも、システムメモリの保護された領域への読み取りまたは書き込みの許可を要求できるようになり、権限昇格や重要なプロセスの不正操作につながる可能性があります。
このため、マイクロソフトは、署名されていない、または安全でないWinRing0ドライバーをDefenderで潜在的に危険なソフトウェアとしてマークし、Hacktool:Win32/Winring0やVulnerableDriver:WinNT/Winring0.Gなどの検出結果で表示することを決定しました。技術的な観点から言えば、この検出は正当です。ドライバーには実際の脆弱性があり、マルウェアによって悪用される可能性があります。
これは、あなたのWinRing0のコピー自体がウイルスであるという意味ではなく、マルウェアが悪用できる機能を持っているという意味です。そのため混乱が生じるのです。正規のドライバと、検出を回避するためにその名前を装う特定の脅威の両方が同じ名前を使用しているためです。
WinRing0に依存するアプリケーションとツール
この問題が大きな話題を呼んだ理由の一つは、多くの人気アプリケーションが正しく動作するためにWinRing0に依存しているからです。Microsoft Defenderのポリシーが強化されたことで、これらのアプリケーションはすべて、ユーザーのPC上で検出、ブロック、および異常な動作の影響を受けています。
影響を受けるツールには、多数のハードウェア監視プログラム、ゲーム、RGBまたはファン管理ユーティリティなどがあります。さまざまなレポートや証言では、例えば、CapFrameX、EVGA Precision X1（旧バージョン）、FanCtrl、HWiNFO、Libre Hardware Monitor、MSI Afterburner、Open Hardware Monitor、OpenRGB、OmenMon、Panorama9、SteelSeries Engine、ZenTimingsなどが挙げられています。
さらに、周辺機器やゲーム機器を管理するためのメーカーのソフトウェアスイートの中には、過去にWinRing0を使用していたものもあります。フォーラムで見られる実際の例としては、Razer Synapseアプリにドライバーを組み込んでバックグラウンドで実行していたユーザーが、そのファイルが常に「使用中」とマークされていたため、Windows Defenderが直接削除できなかったというケースがあります。
別の事例では、別のユーザーが、視覚的な健康上の理由から一時的にディザリングを無効にする必要のあるアクセシビリティアプリケーションにとって、WinRing0が不可欠であると説明しました。このドライバーがないと、文字通りノートパソコンを使用できず、Defenderはそれを削除またはブロックし、簡単に復元するオプションも提供しないとのことでした。
つまり、Defenderの定義ファイルを更新した後、多くのユーザーが、お気に入りのツールが起動しなくなったり、ファンが制御不能なほど最大速度で回転し始めたり、RGB照明が正しく設定されなくなったりといった問題に突然遭遇しているのです。これは、これらすべてを制御する中心的なドライバーが隔離されてしまったためです。
真のセキュリティリスク：脆弱性とウイルス
概念を明確に区別することが重要です。WinRing0はランサムウェアや典型的なバンキング型トロイの木馬ではありませんが、マルウェアによって悪用され、本来許容されるよりも容易にシステムを制御できてしまう脆弱なコントローラーです。
システムにロードされると、WinRing0は保護されたリソースへの無制限のアクセスを提供します。これにより、あらゆるプロセスが、他のプロセス、秘密情報、一時パスワード、さらにはWindowsカーネルの内部構造が存在する領域を含む、重要なメモリ アドレスへの読み取りまたは書き込みをドライバに指示できるようになります。
セキュリティの観点から見ると、これは特に懸念すべき事態です。なぜなら、 Windowsを保護する基本的な障壁の一つである、ユーザー空間とカーネル空間の分離を破ってしまうからです。WinRing0を悪用するエクスプロイトは、オペレーティングシステム自体を侵害することなく、通常の防御策の多くを回避できてしまいます。
そのため、マイクロソフトは署名されていない、あるいは脆弱性のあるWinRing0を「ハッキングツール」または危険なドライバーとして扱うことを選択しました。そして同じ理由で、多くの専門家は可能な限り使用を避けるか、少なくともラボのマシンやリスクが許容できる環境など、非常に限定された管理された状況でのみ使用することを推奨しています。
しかし、DefenderがWinRing0を検出したからといって、必ずしもパスワードが盗まれたり、キーロガーがインストールされたり、ファイルが暗号化されたりしたわけではありません。ほとんどの場合、検出されるのは、既にインストールされている正規のアプリケーションがそのドライバーを使用しているためであり、変更されたのはユーザーの行動ではなく、Microsoftの検出基準です。
Windowsがなぜ今これをブロックしているのか、そしてCrowdStrikeはこれとどのような関係があるのか？
WinRing0が長年脆弱な状態だったにもかかわらず、なぜDefenderが今になってようやくこれほど積極的にブロックし始めたのか、多くの人が疑問に思っています。公式な明確な回答はありませんが、その背景を理解するのに役立つ手がかりがいくつかあります。
一方で、マイクロソフトは以前からカーネルドライバのセキュリティポリシーを強化してきた。セキュリティアップデートの欠陥が原因で世界中のシステムを麻痺させたCrowdStrikeの脆弱性のような重大なインシデントを受けて、そのような高度な権限で実行できるソフトウェアの種類を制限するよう求める圧力が高まっている。
さらに、マイクロソフトはここ数年、カーネルにアクセスするドライバは特定のカーネル署名証明書を使用してデジタル署名されることを義務付けている。この証明書を取得するには、認知された企業であることに加え、署名費用を支払う必要があり、継続的なコストが発生する。これは大企業にとっては管理可能な範囲だが、多くのオープンソースプロジェクトにとっては困難である。
WinRing0は広く利用されているオープンソースライブラリであるため、これまでパッチや改良が加えられてきましたが、Windowsが信頼できると判断するには、新しいバージョンごとに審査と署名が必要です。複数の開発者によると、近年何度かパッチが適用されていますが、Microsoftが新しいバージョンの署名を停止したり、ドライバーの根本的な設計思想が危険すぎると判断したりすれば、状況は維持不可能になるでしょう。
実際、マイクロソフト自身も、ゲームや監視アプリケーションがWinRing0の未署名バージョンを使用しているために脅威としてフラグ付けされているという報告を認識していることを認めています。マイクロソフトは調査を継続していると述べる一方で、Defenderは引き続き未署名ドライバーを脅威として扱い、長期的な保護を損なうことなく誤検出を避けるために検出ロジックを見直していることも明らかにしました。
ユーザーへの影響：ファンが異常に熱くなる、RGB照明が壊れる、アプリが起動しない
一般ユーザーにとって最も分かりやすい影響は、多くのハードウェア制御ツールが一夜にして動作しなくなることです。DefenderはWinRing0を検出し、隔離または削除することで、これらのプログラムの中核部分を停止させてしまうのです。
システムによっては、WinRing0が消えるとすぐに、ファンを制御していたアプリケーションがセンサーやマザーボードのコントローラーと通信できなくなるため、ファンが制御されずにフルスピードで回転し始めます。また、別のシステムでは、RGBライティングがフリーズしたり、設定が解除されたり、影響を受けたアプリケーションが起動直後に終了したりします。
また、Defenderの警告メッセージに「VulnerableDriver:WinNT/Winring0.G」や「Hacktool:Win32/WinRing0」といった不安を煽るような名前が表示されたことで、自分のPCが高度なトロイの木馬に感染したと思い込んでしまうユーザーもいる。中には、リモートアクセスやキーロガーなどの悪夢を恐れて、Windowsを最初から再インストールすることを検討したユーザーもいる。
フォーラムで報告された事例では、ユーザーがRazerソフトウェアに関連するファイルにマルウェアの検出結果を見つけ、削除しようとしたところ、Windowsが「別のプログラムで使用中」であるとして削除を阻止した。Defenderは繰り返し削除を試みたが、成功しなかった。ユーザーがタスクマネージャーから関連プロセスを手動で終了させたところ、ようやくウイルス対策ソフトがファイルを削除できるようになり、問題は解消した。
別の事例では、リモートアクセスがブロックされたように見えた後、ユーザーがWinRing0を検出し、高度なトロイの木馬を疑いました。セーフモードでコンピュータを起動し、フルスキャンを実行し、システムのフォーマットも真剣に検討しました。このような場合、常に注意を払うことは推奨されますが、実際の発生源が有名なツールのドライバであれば、必ずしもそこまで極端な手段を取る必要はありませんでした。
プログラムの継続利用に関する選択肢：除外事項と代替案
影響を受けるアプリケーション（例えば、高度な監視ツール、ファンコントローラー、RGBソフトウェア、あるいは重要なアクセシビリティアプリなど）がどうしても必要な場合は、いくつかの選択肢があり、それぞれに特有の影響があります。完璧な解決策はなく、リスクと利便性のバランスを取るためのさまざまな方法があるだけです。
最初の選択肢は、アプリケーション自体のアップデートを探すことです。一部の開発者は、WinRing0を廃止したり、独自のドライバや別のドライバに置き換えたりする新しいバージョンをリリースし始めていますが、多くの場合、これには数ヶ月の作業とかなりの費用がかかります。
例えば、SignalRGBは、脆弱性があったり、他のソフトウェアバージョンと競合したりする可能性のあるシステムレベルのドライバに依存しないようにするため、2023年にWinRing0の使用を中止し、独自のSMBusドライバを開発したと説明しています。彼ら自身も、このプロセスは困難で、多大なエンジニアリングリソースを必要としたと認めています。
別の選択肢としては、 WinRing0に依存しない代替ツールに切り替えることが挙げられます。新しいカーネル署名要件に対応し、他のドライバに移行したハードウェア監視・管理ユーティリティも存在しますが、その過程で高度な機能の一部が失われる場合もあります。
第三に、一部の開発者やユーザーは、 WinRing0が引き続き機能するように、 Microsoft Defenderに除外設定を追加することを慎重に推奨しています。このオプションは、脆弱なドライバーをシステムに残すリスクを伴うため、特に機密データを含むコンピューターや常時インターネットに接続されているコンピューターでは、慎重に検討する必要があります。
Microsoft DefenderでWinRing0の除外設定を追加する方法（自己責任で行ってください）
詳細に入る前に、マイクロソフトが公式に述べていることを強調しておくことが重要です。セキュリティを低下させたり、保護機能を無効にしたりする変更は、慎重に評価する必要があります。これらの対策は、特定の問題に対する一時的な解決策として役立つ場合もありますが、常に新たなリスクを伴います。
WinRing0を使用するアプリケーションがどうしても必要な場合（例えば、過熱するコンピューターのファンを制御する場合や、アクセシビリティ要件を満たす場合など）、Microsoft Defenderウイルス対策に除外設定を追加することで、関連するファイルやフォルダーがブロックされないようにすることができます。
Windows 10およびWindows 11における一般的な手順は以下のとおりです。
- アプリを開く Windowsセキュリティ 「スタート」＞「設定」＞「更新とセキュリティ」＞「Windows セキュリティ」から、またはスタートメニューで検索して設定できます。
- メインパネルで、次のセクションを入力します。 ウイルスと脅威に対する保護.
- ウイルスと脅威の保護設定セクションで、 設定を管理する.
- ブロックに到達するまでスクロールしてください 除外 「除外項目の追加または削除」を選択します。
- クリックしてください 除外を追加する 次に、特定のファイル、フォルダ全体、またはプロセスを除外するかどうかを選択します。続いて、WinRing0に関連する項目、または影響を受けるアプリケーションを選択します。
それ以降、Defenderは除外リストに追加したもののスキャンとブロックを停止します。これはハードウェアの不具合を解消するのに役立ちますが、保護の盲点も生み出すため、除外する対象とその理由を正確に把握している場合にのみ実行してください。
検出された脅威が本当に脆弱なドライバーだけなのか、それともシステム上に他に何か存在する可能性があるのか疑問がある場合は、他のマルウェア対策ソフトで追加のスキャンを実行したり、最近インストールしたプログラムを確認したり、必要に応じて専門フォーラムで助けを求めたりしてから、潜在的なマルウェアに対して物理的に対策を講じるのが賢明です。
DefenderがWinRing0を削除しない、または継続的に検出する場合の対処法
場合によっては、Windows Defender がWinRing0 ファイルの削除を繰り返し試みるものの、バックグラウンド プログラムによって使用されているために成功しないことがあります。これにより、警告と削除試行がループし、何も解決しないまま、ユーザーにはアクティブな脅威の警告が繰り返し表示されます。
最も一般的な原因は、ドライバーを使用しているアプリケーションが現在起動しているか、常駐サービスを実行していることです。この場合、ウイルス対策ソフトが動作する前に、プログラムとその関連プロセスを手動で終了する必要があります。タスクマネージャーを使用してこれを行うことができます。
- を開く タスクマネージャ （Ctrl+Shift+Escキーを押すか、タスクバーを右クリックして「タスクマネージャー」を選択します。）
- 関連するアプリケーション（例：Razerソフトウェア、RGBツールなど）のメインプロセスを見つけて終了してください。
- また、同じプログラムに関連付けられているサービスがあるかもしれないので、バックグラウンドプロセス タブも確認してください。
WinRing0に依存するすべてのプロセスを停止したら、Windows Defenderから再度スキャンと削除を実行してください。複数のユーザーからの報告によると、この操作を行うことで、Windowsの再インストールやその他の抜本的な対策を講じることなく、ウイルス対策ソフトが検出対象をクリアできたとのことです。
検出が繰り返し発生する場合は、アプリケーションが起動するたびにドライバーを再インストールまたは再生成している可能性があります。その場合は、プログラムを完全にアンインストールするか、WinRing0を使用しない最新バージョンを探すか、または（自己責任で）除外設定を使用してこの継続的な競合を回避するかを決定する必要があります。
マイクロソフトへのフィードバックと開発者の立場
WinRing0の扱い方の変更は、開発者や上級ユーザーの間で大きな不安を引き起こしている。なぜなら、この変更はサードパーティ製のハードウェア監視および制御のほぼすべてのエコシステム、特にこの種のドライバに依存するオープンソースプロジェクトに直接的な影響を与えるからである。
HWiNFOやFan Controlといったツールの開発者たちは、ドライバーの変更は単純なマイナーアップデートではなく、プログラムの大部分をやり直す必要があり、長年の開発とこれらのツールで築き上げてきた評判を考えると、時間と費用が大幅にかかると説明している。
マイクロソフトは、誤検出の報告を認識しており、検出ロジックを見直して改善していると述べるにとどまっているが、同時に、署名されていないドライバーや潜在的に脆弱なドライバーは、長期的なリスクを軽減するために引き続き脅威として扱われると主張している。
この状況を受けて、iBuyPowerという、ゲーミングPCの組み立て済み製品で知られる企業が参入してきた。同社のプロダクトマネージャーによると、Microsoftによるデジタル署名付きのWinRing0の最新バージョンを入手しようとしているという。成功すれば、この署名済みライブラリを開発者コミュニティと共有し、検証済みのドライバーを搭載したアプリケーションを配布できるようにする計画だ。
たとえ署名付きバージョンが登場したとしても、根本的な問題は残ります。WinRing0はカーネルへの非常に広範なアクセス権限という基本的な設計を維持するため、マルウェアがそれを偽装したり悪用したりすれば、依然としてリスクが残ります。多くの専門家は、より厳格な制限と最新のセキュリティモデルを備えた、ゼロから設計された新しいドライバに移行することこそが、唯一確実な解決策だと考えています。
Windowsでフィードバックを送信し、フィードバックレベルを制御する方法
これらの検出結果の影響を受けており、Microsoft の対応方法を改善すべきだと考える場合は、Windows から直接フィードバックを送信できます。Microsoft 自身も、Defender やその他のシステムコンポーネントに関する問題を報告するために、組み込みツールを使用することを推奨しています。
一方、Windowsは定期的に自動的にフィードバックを求めるように設定されています。この自動フィードバック設定を確認または調整するには、次の手順に従ってください。
- に行く ホーム > 設定 > プライバシーとセキュリティ > 診断とフィードバック.
- 「フィードバックの頻度」セクションで、Windowsが定期的にフィードバックを求めるようにするには、「自動（推奨）」に設定されていることを確認してください。
一方、システムからの指示を待たずに、フィードバックハブを通じていつでも手動でフィードバックを送信することもできます。
- タスクバーの検索ボックスに「フィードバックセンター」と入力して開いてください。
- アプリケーション内で、次のセクションに移動してください。 注釈 「新しいコメントを追加」を選択してください。
- 関連するカテゴリを選択してください。例えば、「セキュリティ、プライバシー、アカウント > Windows 用 Microsoft Defender ウイルス対策」などです。
このように、WinRing0に関する問題、誤検出、正規ドライバーの管理上の問題など、お客様の経験が記録され、少なくとも理論上は、マイクロソフトが将来のバージョンでポリシーや検出ツールを調整するのに役立つ可能性があります。
診断とフィードバックの設定では、 Microsoft に送信するデータとその詳細レベルを制御できます。これは、プライバシーが気になる場合に重要です。同じ設定セクションで、利用可能なオプションを確認し、好みに合わせて調整できます。
現在、WinRing0 の状況は、機能性とセキュリティの長年にわたる妥協の結果です。低レベルのハードウェアにアクセスするための非常に便利なドライバである一方で、悪用される可能性のある脆弱性も抱えており、Microsoft Defender の標的となっています。警告が表示された場合、それはおそらく、新たに発生した悪質なトロイの木馬ではなく、インストール済みの監視ツール、ファン制御ソフトウェア、または RGB ソフトウェアが原因です。そこから、可能な限りソフトウェアを更新または変更するか、除外設定を作成してリスクを受け入れ、WinRing0 を保持する価値があるかどうかを評価するか、あるいはシステム上のセキュリティを優先するために単純に削除するかのいずれかの判断を下すことになります。