- WinRing0 是一個存在漏洞的驅動程序，被許多硬體監控和控制應用程式使用，它不是傳統意義上的病毒。
- 由於該程式能夠深度存取內核，並可能被惡意軟體濫用，因此微軟 Defender 將其標記為威脅。
- 使用者可以選擇更新或替換受影響的應用程序，或自行承擔風險在 Defender 中新增排除項。
- 雖然轉型過程很複雜，特別是對於開放式專案而言，但產業正在朝著更安全、簽名的驅動程式方向發展。
如果您使用的是 Windows 10 或 Windows 11，並且突然收到 Microsoft Defender 發出的關於HackTool:Win32/WinRing0 或 VulnerableDriver:WinNT/Winring0.G 的警報，您感到擔憂並認為電腦感染了嚴重的木馬程式是可以理解的。更糟的是，您的監視工具、風扇或 RGB 燈光可能會突然停止運作。
首先你需要了解的是，在大多數情況下，你遇到的並非感染文件或加密硬碟的典型病毒，而是一個存在已知漏洞的驅動程序，Windows 已決定對其進行強制阻止。這並不意味著它完全無害，但確實會顯著改變你處理它的方式，並決定是否值得保留它。
WinRing0是什麼？為什麼Windows Defender會將其偵測為威脅？
WinRing0 是一款底層硬體存取驅動程序，多年來一直被廣泛應用於各種 PC 監控和控制應用程式。它是一個庫/驅動程序，允許程式幾乎直接與 Windows 核心和某些主機板組件通信，從而繞過許多常見的保護層。
由於能夠深度存取硬件，WinRing0 在需要讀取感測器數據、管理風扇轉速、控制 RGB 燈光或微調系統參數的第三方應用程式中非常流行。它是為數不多的能夠與硬體進行如此緊密互動的免費開源軟體之一。
問題在於，WinRing0 驅動程式在 2020 年被列為安全漏洞，編號為 CVE-2020-14979。該漏洞允許任何應用程式（即使沒有管理員權限）在驅動程式載入到系統後，請求讀取或寫入系統記憶體的受保護區域的權限，從而為權限提升或操縱關鍵進程打開了方便之門。
因此，微軟決定將未簽署或不安全的 WinRing0 驅動程式在 Defender 中標記為潛在危險軟體，並出現在 Hacktool:Win32/Winring0 或 VulnerableDriver:WinNT/Winring0.G 等偵測結果中。從技術角度來看，這種檢測是合理的：該驅動程式確實存在漏洞，可能會被惡意軟體利用。
這並不意味著你安裝的 WinRing0 版本是病毒，而是說它具有惡意軟體可以利用的功能。因此才會造成混淆：合法的驅動程式和某些偽裝成它的威脅都使用了相同的名稱來逃避偵測。
依賴 WinRing0 的應用程式和工具
這個問題之所以引起如此廣泛的關注，原因之一是許多熱門應用程式依賴 WinRing0才能正常運作。隨著微軟 Defender 策略的收緊，這些應用程式都受到了偵測、封鎖以及使用者電腦上出現異常行為的影響。
受影響最大的工具包括眾多硬體監控程式、遊戲以及RGB或風扇管理工具。各種報告與使用者評論都提到了CapFrameX、EVGA Precision X1（舊版）、FanCtrl、HWiNFO、Libre Hardware Monitor、MSI Afterburner、Open Hardware Monitor、OpenRGB、OmenMon、Panorama9、SteelSeries Engine和ZenTimings等等。
此外，一些廠商用於管理週邊設備和遊戲設備的軟體套件過去也曾使用過 WinRing0。論壇上流傳的一個實際案例是，一位用戶將驅動程式整合到後台運行的 Razer Synapse 應用程式中，導致 Windows Defender 無法直接將其刪除，因為該檔案始終被標記為「正在使用」。
在另一個案例中，另一位用戶解釋說，WinRing0對於一款輔助使用應用程式至關重要，該應用程式需要暫時停用抖動功能以保障視力健康。如果沒有這個驅動程序，他們根本無法使用筆記型電腦，而且 Windows Defender 會將其刪除或阻止，並且不提供輕鬆恢復的選項。
所有這些都意味著，在 Defender 定義更新後，許多用戶突然發現他們最喜歡的工具停止啟動，風扇開始不受控制地以最高速度旋轉，或者 RGB 燈光配置錯誤，因為協調所有這些的中央驅動程式已被隔離。
真正的安全風險：漏洞與病毒
明確區分概念非常重要：WinRing0 不是勒索軟體或典型的銀行木馬，而是一個易受攻擊的控制器，惡意軟體可以利用它比允許的更容易控制系統。
WinRing0 載入到系統後，會提供受保護資源的無限制存取權。這使得任何進程都可以指示驅動程式讀取或寫入關鍵記憶體位址，包括其他進程、機密資訊、臨時密碼，甚至是 Windows 核心內部結構所在的區域。
從安全角度來看，這尤其令人擔憂，因為它破壞了保護 Windows 的一項基本屏障：使用者空間和核心空間的分離。利用 WinRing0 漏洞的攻擊者無需攻破作業系統本身，即可繞過許多常見的防禦措施。
這就是為什麼微軟選擇將未經簽署或存在漏洞的 WinRing0 版本視為「駭客工具」或危險驅動程式的原因。出於同樣的原因，許多專家建議盡可能避免使用它，或至少將其使用限制在非常特定且受控的情況下，例如在實驗室機器或風險可接受的環境中。
然而，Defender 標記 WinRing0 並不一定意味著您的密碼已被竊取、安裝了鍵盤記錄器或檔案已加密。在大多數情況下，檢測到該驅動程式是因為某個已安裝的合法應用程式使用了該驅動程序，而改變的是微軟的檢測標準，而非您的行為。
為什麼 Windows 現在會阻止它？ CrowdStrike 和這件事又有什麼關係？
許多人都在疑惑，既然 WinRing0 漏洞已經存在多年，為什麼Defender 直到現在才開始如此積極地對其進行攔截。目前還沒有明確的官方答案，但有一些線索有助於我們理解其中的緣由。
一方面，微軟已經加強了核心驅動程式的安全策略一段時間了。在發生諸如 CrowdStrike 漏洞等影響巨大的安全事件之後——該漏洞由於安全更新中的缺陷導致全球系統癱瘓——限制哪些類型的軟體可以擁有如此高的權限運行的壓力越來越大。
此外，多年來，微軟一直要求存取核心的驅動程式必須使用特定的核心簽名憑證進行數位簽署。獲得此證書需要公司具備一定的資格並支付簽名費用，這會產生持續的成本——對於大型公司來說尚可接受，但對於許多開源專案而言卻難以承受。
WinRing0 作為一個廣泛使用的開源程式庫，隨著時間的推移不斷獲得修補程式和改進，但每個新版本都必須經過審核和簽名，才能被 Windows 視為可信任版本。據多位開發者稱，近年來 WinRing0 已多次打補丁，但如果微軟決定停止對新版本進行簽名，或者認為該驅動程式的底層設計理念風險過高，那麼這種情況將變得難以維持。
事實上，微軟已承認注意到有報告稱，一些遊戲和監控應用程式因使用未簽署的 WinRing0 版本而被標記為威脅。微軟表示正在繼續調查，並澄清 Defender 將繼續把未簽署的驅動程式視為威脅，他們正在審查偵測邏輯，以避免誤報，同時確保長期防護不受影響。
對使用者的影響：風扇狂轉、RGB燈光損壞、應用程式無法啟動
對一般使用者而言，最明顯的影響是，一夜之間，許多硬體控制工具停止運作。 Defender 會偵測到 WinRing0，並將其隔離或刪除，這樣做會使這些程式的核心部分失效。
在某些系統中，一旦 WinRing0 消失，風扇就會全速運轉而無法調節，因為管理風扇的應用程式無法再與感測器或主機板控制器通訊。在其他系統中，RGB 燈光會凍結或失去配置，或者受影響的應用程式會在開啟後立即關閉。
也有一些用戶在看到 Defender 發出的諸如 VulnerableDriver:WinNT/Winring0.G 或 Hacktool:Win32/WinRing0 之類的令人擔憂的警告後，就認為自己的電腦感染了某種特別複雜的木馬程式。有些人甚至因為擔心遠端存取、鍵盤記錄器和其他類似的威脅，而考慮徹底重裝 Windows 系統。
在論壇上流傳的一個案例中，一位用戶發現一個與 Razer 軟體相關的文件被檢測到，他試圖刪除該文件，但 Windows 阻止了他，理由是該文件正被另一個程式「使用」。 Windows Defender 多次嘗試刪除該檔案均告失敗。只有當他手動從任務管理器中關閉相關進程後，防毒軟體才能刪除該文件，問題才得以解決。
在另一個案例中，使用者在一次疑似遠端存取嘗試被封鎖後，偵測到了 WinRing0，並懷疑是高階木馬程式。他們將電腦啟動到安全模式並進行了全面掃描，甚至認真考慮過格式化系統。雖然在這種情況下謹慎總是明智的，但如果實際的感染源是某個知名工具的驅動程序，則未必需要採取如此極端的措施。
繼續使用您現有程式的選項：例外情況和替代方案
如果您確實需要使用受影響的應用程式（例如，進階監控工具、風扇控制器、RGB 軟體，甚至是關鍵的輔助功能應用程式），您有幾種選擇，每種選擇都有其自身的特點。沒有完美的解決方案，只有平衡風險和便利性的不同方法。
第一種方法是尋找應用程式本身的更新。一些開發者已經開始發布新版本，這些版本會移除 WinRing0 或將其替換為專有驅動程式或其他驅動程序，儘管在許多情況下，這需要數月的時間和相當大的成本。
例如，SignalRGB解釋說，他們在2023年停止使用WinRing0，並開發了自己的SMBus驅動程序，正是為了避免依賴可能存在漏洞或與其他軟體版本衝突的系統級驅動程式。他們也承認，這個過程十分困難，需要投入大量的工程資源。
另一種方法是改用不再依賴 WinRing0 的替代工具。一些硬體監控和管理實用程式已經適應了新的核心簽名要求並遷移到了其他驅動程序，儘管在此過程中它們有時會丟失一些高級功能。
第三，一些開發者和使用者謹慎地建議在 Microsoft Defender 中新增例外，以允許 WinRing0 繼續運作。此選項意味著要承擔在系統中保留易受攻擊驅動程式的風險，因此應謹慎考慮，尤其是在儲存敏感資料或持續存取網際網路的電腦上。
如何在 Microsoft Defender 中新增 WinRing0 排除項（風險自負）
在詳細討論之前，必須強調微軟的官方聲明：任何降低安全性或禁用保護措施的變更都應經過仔細評估。這些措施或許可以作為解決特定問題的臨時方案，但始終會帶來額外的風險。
如果您決定繼續，因為您絕對需要使用 WinRing0 的應用程式（例如，控制過熱電腦的風扇或符合輔助功能要求），您可以在 Microsoft Defender 防毒軟體中新增例外，以阻止其封鎖相關檔案或資料夾。
Windows 10 和 Windows 11 的一般步驟如下：
- 打開應用程序 Windows安全性 從「開始」>「設定」>「更新與安全性」>「Windows 安全中心」尋找，或在「開始」功能表中搜尋。
- 在主面板上，進入該部分 防禦病毒和威脅.
- 在“病毒和威脅防護”設定部分，按一下 管理設定.
- 向下捲動直到看到該方塊。 排除 然後選擇“新增或刪除排除項”。
- 點擊 新增排除項 然後選擇要排除的特定檔案、整個資料夾或進程。接下來，選擇與 WinRing0 或受影響的應用程式相關的項目。
從那時起，Defender將停止掃描和阻止任何您添加到排除清單中的內容。這可以解決硬體故障，但也會在防護中造成盲點，因此只有在您確切知道要排除哪些內容以及原因時才應執行此操作。
如果您懷疑檢測到的威脅是否真的只是存在漏洞的驅動程序，或者您的系統中是否可能存在其他問題，明智的做法是使用其他反惡意軟體解決方案運行額外的掃描，檢查最近安裝的程序，並在必要時在專業論壇上尋求幫助，然後再實際打開系統，以免潛在的惡意軟體入侵。
如果 Defender 不刪除 WinRing0 或持續偵測到它，該怎麼辦？
在某些情況下，Windows Defender 可能會重複嘗試刪除 WinRing0 檔案但始終失敗，因為該檔案正被背景程式使用。這會導致警告和刪除嘗試陷入循環，最終一無所獲，而用戶則會反覆看到「活動威脅」警報。
最常見的原因是使用該驅動程式的應用程式目前正在開啟或有駐留服務。在這種情況下，您必須手動關閉該程式及其相關進程，防毒軟體才能生效。您可以使用任務管理器來完成此操作：
- 打開 任務經理 （按 Ctrl+Shift+Esc 或在工作列上按滑鼠右鍵 > 工作管理員）。
- 找到相關應用程式（例如 Razer 軟體、RGB 工具等）的主進程並將其終止。
- 也要檢查後台進程選項卡，看看是否有與相同程式關聯的服務。
停止所有依賴 WinRing0 的服務後，請再次從 Windows Defender 執行掃描和清除程式。多位使用者回饋，這樣做可以讓防毒軟體清除偵測結果，而無需重裝 Windows 或採取其他更激烈的措施。
如果偵測結果反覆出現，則可能是應用程式每次啟動時都在重新安裝或重新產生驅動程式。在這種情況下，您需要決定是徹底卸載該程序，還是尋找不使用 WinRing0 的更新版本，或使用排除功能（風險自負）來避免這種持續存在的衝突。
向微軟提供的回饋以及開發人員的立場
WinRing0 處理方式的改變引起了開發人員和高級用戶的極大不安，因為它直接影響到幾乎整個第三方硬體監控和控制生態系統，特別是依賴此類驅動程式的開源專案。
像 HWiNFO 或 Fan Control 這樣的工具的開發者解釋說，更改驅動程式不是簡單的次要更新，而是需要重做程式的大部分內容，這會耗費大量的時間和金錢，而這一切都是經過多年的努力和圍繞這些工具建立起來的聲譽之後才實現的。
微軟僅表示，他們已經意識到誤報問題，正在重新評估其檢測邏輯以進行改進，但同時堅持認為，未簽署或可能存在漏洞的驅動程式仍將被視為威脅，以降低長期風險。
針對這種情況，一家名為 iBuyPower 的公司加入了競爭：這家公司以生產預裝遊戲電腦而聞名。據其產品經理透露，他們正在嘗試取得由微軟數位簽署的 WinRing0 更新版本。他們的計劃是，如果成功，他們將與開發者社群共享這個簽名庫，以便開發者能夠發布帶有已驗證驅動程式的應用程式版本。
即使最終發布了簽名版本，根本問題依然存在：WinRing0 仍然保留其非常廣泛的內核存取權限，因此，如果惡意軟體設法偽造或利用了它，仍然會構成威脅。許多專家認為，唯一可靠的解決方案是遷移到從零開始設計的新驅動程序，這些驅動程式具有更嚴格的限制和更現代的安全模型。
如何在 Windows 中發送回饋和控制回饋級別
如果您受到這些檢測的影響，並且認為微軟應該改進其方法，您可以直接透過 Windows 提交回饋。微軟鼓勵使用者使用內建工具來報告 Defender 和其他系統元件的問題。
一方面，Windows 系統預設為定期自動徵求您的回饋意見。如果您想查看或調整此自動回饋設置，可以按以下步驟操作：
- 去吧 首頁 > 設定 > 隱私權與安全性 > 診斷與回饋.
- 在「回饋頻率」部分，如果您希望 Windows 定期徵求您的回饋，請確保將其設定為「自動（建議）」。
另一方面，您也可以隨時透過回饋中心手動提交回饋，無需等待系統提示：
- 在工作列的搜尋框中輸入“反饋中心”並打開它。
- 在應用程式中，轉到該部分 評論 然後選擇“新增評論”。
- 選擇一個相關類別，例如「安全性、隱私權和帳戶 > Microsoft Defender Windows 防毒軟體」。
這樣一來，您在使用 WinRing0、遇到誤報或管理合法驅動程式方面遇到的困難等情況都會被記錄下來，至少在理論上，這可以幫助微軟在未來的版本中調整其策略和檢測工具。
診斷和回饋設定還可讓您控制發送給 Microsoft 的資料及其詳細程度，如果您注重隱私，這一點尤其重要。在同一設定部分，您可以查看可用選項並根據個人喜好進行調整。
如今，WinRing0 的現狀是多年來在功能性和安全性之間做出妥協的結果：它是一款功能強大的底層硬體存取驅動程序，但同時也存在潛在的可利用漏洞，目前已被微軟 Defender 列入攻擊目標。如果您收到警報，很可能是由於您安裝的監控工具、風扇控制軟體或 RGB 軟體引起的，而不一定是新出現的惡意木馬程式。接下來，您可以根據情況決定是更新或更換軟體，評估是否值得保留 WinRing0（透過建立排除清單並承擔風險），還是直接移除以優先保障系統安全。