- WinRing0 是一个存在漏洞的驱动程序，被许多硬件监控和控制应用程序使用，它不是传统意义上的病毒。
- 由于该程序能够深度访问内核，并可能被恶意软件滥用，因此微软 Defender 将其标记为威胁。
- 用户可以选择更新或替换受影响的应用程序，或者自行承担风险在 Defender 中添加排除项。
- 虽然转型过程很复杂，特别是对于开放式项目而言，但行业正在朝着更安全、经过签名的驱动程序方向发展。
如果您使用的是 Windows 10 或 Windows 11，并且突然收到 Microsoft Defender 发出的关于HackTool:Win32/WinRing0 或 VulnerableDriver:WinNT/Winring0.G 的警报，您感到担忧并认为电脑感染了严重的木马程序是可以理解的。更糟糕的是，您的监控工具、风扇或 RGB 灯光可能突然停止工作。
首先你需要了解的是，在大多数情况下，你遇到的并非感染文件或加密硬盘的典型病毒，而是一个存在已知漏洞的驱动程序，Windows 已决定对其进行强制阻止。这并不意味着它完全无害，但确实会显著改变你处理它的方式，并决定是否值得保留它。
WinRing0是什么？为什么Windows Defender会将其检测为威胁？
WinRing0 是一款底层硬件访问驱动程序，多年来一直被广泛应用于各种 PC 监控和控制应用程序中。它是一个库/驱动程序，允许程序几乎直接与 Windows 内核和某些主板组件通信，从而绕过许多常见的保护层。
由于能够深度访问硬件，WinRing0 在需要读取传感器数据、管理风扇转速、控制 RGB 灯光或微调系统参数的第三方应用程序中非常流行。它是为数不多的能够与硬件进行如此紧密交互的免费开源软件之一。
问题在于，WinRing0 驱动程序在 2020 年被列为安全漏洞，编号为 CVE-2020-14979。该漏洞允许任何应用程序（即使没有管理员权限）在驱动程序加载到系统后，请求读取或写入系统内存的受保护区域的权限，从而为权限提升或操纵关键进程打开了方便之门。
因此，微软决定将未签名或不安全的 WinRing0 驱动程序在 Defender 中标记为潜在危险软件，并出现在 Hacktool:Win32/Winring0 或 VulnerableDriver:WinNT/Winring0.G 等检测结果中。从技术角度来看，这种检测是合理的：该驱动程序确实存在漏洞，可能会被恶意软件利用。
这并不意味着你安装的 WinRing0 版本是病毒，而是说它具有恶意软件可以利用的功能。因此才会造成混淆：合法的驱动程序和某些伪装成它的威胁都使用了相同的名称来逃避检测。
依赖于 WinRing0 的应用程序和工具
这个问题之所以引起如此广泛的关注，原因之一是许多热门应用程序依赖于 WinRing0才能正常运行。随着微软 Defender 策略的收紧，这些应用程序都受到了检测、阻止以及用户电脑上出现异常行为的影响。
受影响最大的工具包括众多硬件监控程序、游戏以及RGB或风扇管理工具。各种报告和用户评价中都提到了CapFrameX、EVGA Precision X1（旧版本）、FanCtrl、HWiNFO、Libre Hardware Monitor、MSI Afterburner、Open Hardware Monitor、OpenRGB、OmenMon、Panorama9、SteelSeries Engine和ZenTimings等等。
此外，一些厂商用于管理外设和游戏设备的软件套件过去也曾使用过 WinRing0。论坛上流传的一个实际案例是，一位用户将驱动程序集成到后台运行的 Razer Synapse 应用程序中，导致 Windows Defender 无法直接将其删除，因为该文件始终被标记为“正在使用”。
在另一个案例中，另一位用户解释说，WinRing0对于一款辅助功能应用程序至关重要，该应用程序需要暂时禁用抖动功能以保障视力健康。如果没有这个驱动程序，他们根本无法使用笔记本电脑，而且 Windows Defender 会将其删除或阻止，并且不提供轻松恢复的选项。
所有这些都意味着，在 Defender 定义更新后，许多用户突然发现他们最喜欢的工具停止启动，风扇开始不受控制地以最高速度旋转，或者 RGB 灯光配置错误，因为协调所有这些的中央驱动程序已被隔离。
真正的安全风险：漏洞与病毒
明确区分概念非常重要：WinRing0 不是勒索软件或典型的银行木马，而是一个易受攻击的控制器，恶意软件可以利用它比允许的更容易地控制系统。
WinRing0 加载到系统后，会提供对受保护资源的无限制访问权限。这使得任何进程都可以指示驱动程序读取或写入关键内存地址，包括其他进程、机密信息、临时密码，甚至是 Windows 内核内部结构所在的区域。
从安全角度来看，这尤其令人担忧，因为它破坏了保护 Windows 的一项基本屏障：用户空间和内核空间的分离。利用 WinRing0 漏洞的攻击者无需攻破操作系统本身，即可绕过许多常见的防御措施。
这就是为什么微软选择将未经签名或存在漏洞的 WinRing0 版本视为“黑客工具”或危险驱动程序的原因。出于同样的原因，许多专家建议尽可能避免使用它，或者至少将其使用限制在非常特定且受控的情况下，例如在实验室机器或风险可接受的环境中。
然而，Defender 标记 WinRing0 并不一定意味着您的密码已被窃取、安装了键盘记录器或文件已被加密。在大多数情况下，检测到该驱动程序是因为某个已安装的合法应用程序使用了该驱动程序，而改变的是微软的检测标准，而非您的行为。
为什么 Windows 现在会阻止它？CrowdStrike 和这件事又有什么关系？
许多人都在疑惑，既然 WinRing0 漏洞已经存在多年，为什么Defender 直到现在才开始如此积极地对其进行拦截。目前还没有一个明确的官方答案，但有一些线索有助于我们理解其中的缘由。
一方面，微软已经加强了内核驱动程序的安全策略一段时间了。在发生诸如 CrowdStrike 漏洞等影响巨大的安全事件之后——该漏洞由于安全更新中的缺陷导致全球系统瘫痪——限制哪些类型的软件可以拥有如此高的权限运行的压力越来越大。
此外，多年来，微软一直要求访问内核的驱动程序必须使用特定的内核签名证书进行数字签名。获得此证书需要公司具备一定的资质并支付签名费用，这会产生持续的成本——对于大型公司来说尚可接受，但对于许多开源项目而言却难以承受。
WinRing0 作为一个广泛使用的开源库，随着时间的推移不断获得补丁和改进，但每个新版本都必须经过审核和签名，才能被 Windows 视为可信版本。据多位开发者称，近年来 WinRing0 已多次打补丁，但如果微软决定停止对新版本进行签名，或者认为该驱动程序的底层设计理念风险过高，那么这种情况将变得难以维持。
事实上，微软已承认注意到有报告称，一些游戏和监控应用程序因使用未签名的 WinRing0 版本而被标记为威胁。微软表示正在继续调查，并澄清 Defender 将继续把未签名的驱动程序视为威胁，他们正在审查检测逻辑，以避免误报，同时确保长期防护不受影响。
对用户的影响：风扇狂转、RGB灯光损坏、应用程序无法启动
对普通用户而言，最明显的影响是，一夜之间，许多硬件控制工具停止工作。Defender 会检测到 WinRing0，并将其隔离或删除，这样做会使这些程序的核心部分失效。
在某些系统中，一旦 WinRing0 消失，风扇就会全速运转而无法调节，因为管理风扇的应用程序无法再与传感器或主板控制器通信。在另一些系统中，RGB 灯光会冻结或失去配置，或者受影响的应用程序会在打开后立即关闭。
也有一些用户在看到 Defender 发出的诸如 VulnerableDriver:WinNT/Winring0.G 或 Hacktool:Win32/WinRing0 之类的令人担忧的警告后，就认为自己的电脑感染了某种特别复杂的木马程序。有些人甚至因为担心远程访问、键盘记录器和其他类似的威胁，而考虑过彻底重装 Windows 系统。
在论坛上流传的一个案例中，一位用户发现一个与 Razer 软件相关的文件被检测到，他试图删除该文件，但 Windows 阻止了他，理由是该文件正被另一个程序“使用”。Windows Defender 多次尝试删除该文件均告失败。只有当他手动从任务管理器中关闭相关进程后，杀毒软件才能删除该文件，问题才得以解决。
在另一个案例中，用户在一次疑似远程访问尝试被阻止后，检测到了 WinRing0，并怀疑是高级木马程序。他们将电脑启动到安全模式并进行了全面扫描，甚至认真考虑过格式化系统。虽然在这种情况下谨慎总是明智的，但如果实际的感染源是某个知名工具的驱动程序，则未必需要采取如此极端的措施。
继续使用您现有程序的选项：例外情况和替代方案
如果您确实需要使用受影响的应用程序（例如，高级监控工具、风扇控制器、RGB 软件，甚至是关键的辅助功能应用程序），您有几种选择，每种选择都有其自身的特点。没有完美的解决方案，只有平衡风险和便利性的不同方法。
第一种方法是寻找应用程序本身的更新。一些开发者已经开始发布新版本，这些版本会移除 WinRing0 或将其替换为专有驱动程序或其他驱动程序，尽管在很多情况下，这需要数月的时间和相当大的成本。
例如，SignalRGB解释说，他们于2023年停止使用WinRing0，并开发了自己的SMBus驱动程序，正是为了避免依赖可能存在漏洞或与其他软件版本冲突的系统级驱动程序。他们也承认，这个过程十分困难，需要投入大量的工程资源。
另一种方法是改用不再依赖 WinRing0 的替代工具。一些硬件监控和管理实用程序已经适应了新的内核签名要求并迁移到了其他驱动程序，尽管在此过程中它们有时会丢失一些高级功能。
第三，一些开发者和用户谨慎地建议在 Microsoft Defender 中添加例外，以允许 WinRing0 继续运行。此选项意味着要承担在系统中保留易受攻击驱动程序的风险，因此应谨慎考虑，尤其是在存储敏感数据或持续访问互联网的计算机上。
如何在 Microsoft Defender 中添加 WinRing0 排除项（风险自负）
在详细讨论之前，必须强调微软的官方声明：任何降低安全性或禁用保护措施的更改都应经过仔细评估。这些措施或许可以作为解决特定问题的临时方案，但始终会带来额外的风险。
如果您决定继续，因为您绝对需要使用 WinRing0 的应用程序（例如，控制过热计算机的风扇或满足辅助功能要求），您可以在 Microsoft Defender 防病毒软件中添加例外，以阻止其阻止相关文件或文件夹。
Windows 10 和 Windows 11 的一般步骤如下：
- 打开应用程序 Windows安全性 从“开始”>“设置”>“更新和安全”>“Windows 安全中心”查找，或者在“开始”菜单中搜索。
- 在主面板上，进入该部分 防御病毒和威胁.
- 在“病毒和威胁防护”设置部分，单击 管理设定.
- 向下滚动直到看到该方块。 排除 然后选择“添加或删除排除项”。
- 按下 添加排除项 然后选择要排除的特定文件、整个文件夹或进程。接下来，选择与 WinRing0 或受影响的应用程序相关的项。
从那时起，Defender将停止扫描和阻止任何您添加到排除列表中的内容。这可以解决硬件故障，但也会在防护中造成盲点，因此只有在您确切知道要排除哪些内容以及原因时才应执行此操作。
如果您怀疑检测到的威胁是否真的只是存在漏洞的驱动程序，或者您的系统中是否可能存在其他问题，明智的做法是使用其他反恶意软件解决方案运行额外的扫描，检查最近安装的程序，并在必要时在专业论坛上寻求帮助，然后再实际打开系统，以免潜在的恶意软件入侵。
如果 Defender 不删除 WinRing0 或持续检测到它，该怎么办？
在某些情况下，Windows Defender 可能会反复尝试删除 WinRing0 文件但始终失败，因为该文件正被后台程序使用。这会导致警告和删除尝试陷入循环，最终一无所获，而用户则会反复看到“活动威胁”警报。
最常见的原因是使用该驱动程序的应用程序当前正在打开或有驻留服务。在这种情况下，您必须手动关闭该程序及其相关进程，防病毒软件才能生效。您可以使用任务管理器来完成此操作：
- 打开 任务经理 （按 Ctrl+Shift+Esc 或在任务栏上单击鼠标右键 > 任务管理器）。
- 找到相关应用程序（例如 Razer 软件、RGB 工具等）的主进程并将其终止。
- 还要检查后台进程选项卡，看看是否有与同一程序关联的服务。
停止所有依赖于 WinRing0 的服务后，请再次从 Windows Defender 中运行扫描和清除程序。多位用户反馈，这样做可以让杀毒软件清除检测结果，而无需重装 Windows 或采取其他更激烈的措施。
如果检测结果反复出现，则可能是应用程序每次启动时都在重新安装或重新生成驱动程序。在这种情况下，您需要决定是彻底卸载该程序，还是寻找不使用 WinRing0 的更新版本，或者使用排除功能（风险自负）来避免这种持续存在的冲突。
向微软提供的反馈以及开发人员的立场
WinRing0 处理方式的改变引起了开发人员和高级用户的极大不安，因为它直接影响到几乎整个第三方硬件监控和控制生态系统，特别是依赖此类驱动程序的开源项目。
像 HWiNFO 或 Fan Control 这样的工具的开发者解释说，更改驱动程序不是简单的次要更新，而是需要重做程序的大部分内容，这会耗费大量的时间和金钱，而这一切都是经过多年的努力和围绕这些工具建立起来的声誉之后才实现的。
微软仅表示，他们已经意识到误报问题，正在重新评估其检测逻辑以进行改进，但同时坚持认为，未签名或可能存在漏洞的驱动程序仍将被视为威胁，以降低长期风险。
针对这种情况，一家名为 iBuyPower 的公司加入了竞争：这家公司以生产预装游戏电脑而闻名。据其产品经理透露，他们正在尝试获取由微软数字签名的 WinRing0 更新版本。他们的计划是，如果成功，他们将与开发者社区共享这个签名库，以便开发者能够发布带有已验证驱动程序的应用程序版本。
即使最终发布了签名版本，根本问题依然存在：WinRing0 仍然保留其非常广泛的内核访问权限，因此，如果恶意软件设法伪造或利用了它，仍然会构成威胁。许多专家认为，唯一可靠的解决方案是迁移到从零开始设计的新驱动程序，这些驱动程序具有更严格的限制和更现代的安全模型。
如何在 Windows 中发送反馈和控制反馈级别
如果您受到这些检测的影响，并且认为微软应该改进其方法，您可以直接通过 Windows 提交反馈。微软鼓励用户使用内置工具来报告 Defender 和其他系统组件的问题。
一方面，Windows 系统默认设置为定期自动征求您的反馈意见。如果您想查看或调整此自动反馈设置，可以按以下步骤操作：
- 去吧 首页 > 设置 > 隐私和安全 > 诊断和反馈.
- 在“反馈频率”部分，如果您希望 Windows 定期征求您的反馈，请确保将其设置为“自动（推荐）”。
另一方面，您也可以随时通过反馈中心手动提交反馈，无需等待系统提示：
- 在任务栏的搜索框中输入“反馈中心”并打开它。
- 在应用程序中，转到该部分 评论 然后选择“添加新评论”。
- 选择一个相关类别，例如“安全、隐私和帐户 > Microsoft Defender Windows 防病毒软件”。
这样一来，您在使用 WinRing0、遇到误报或管理合法驱动程序方面遇到的困难等情况都会被记录下来，至少在理论上，这可以帮助微软在未来的版本中调整其策略和检测工具。
诊断和反馈设置还允许您控制发送给 Microsoft 的数据及其详细程度，如果您注重隐私，这一点尤为重要。在同一设置部分，您可以查看可用选项并根据个人喜好进行调整。
如今，WinRing0 的现状是多年来在功能性和安全性之间做出妥协的结果：它是一款功能强大的底层硬件访问驱动程序，但同时也存在潜在的可利用漏洞，目前已被微软 Defender 列入攻击目标。如果您收到警报，很可能是由于您安装的监控工具、风扇控制软件或 RGB 软件引起的，而不一定是新出现的恶意木马程序。接下来，您可以根据情况决定是更新或更换软件，评估是否值得保留 WinRing0（通过创建排除列表并承担风险），还是直接将其移除以优先保障系统安全。