Windows Defender blockerar den fria drivrutinen WinRing0, som används i officiell OEM-mjukvara

Från och med den 11 mars började det inbyggda antiviruspaketet Windows Defender i Windows-blockera (sätta i karantän) den öppna drivrutinen WinRing0. Drivrutinen används för att få åtkomst till olika hårdvaror från användarutrymmet, för vilka det inte finns något annat API i systemet.

WinRing0-drivrutinen är efterfrågad i projekt som hanterar hårdvaruinställningar, både öppna (OpenRGB, Libre Hardware Monitor, FanControl) och proprietära (SignalRGB, Razer Synapse 3). Bland programmen som använder drivrutinen finns officiell programvara från dussintals hårdvarutillverkare, inklusive populära sådana. Det är värt att notera att drivrutinen signerades av författaren själv (utvecklaren av CrystalDiskMark) och accepterades av Microsoft.

Det problem som Microsoft har markerat, vilket ledde till blockeringen, är relaterat till att vilket program som helst kan få åtkomst till den installerade drivrutinen i systemet, och via drivrutinen kan programmet manipulera vilken enhet som helst i systemet eller höja sina privilegier (CVE-2020-14979).

I ljuset av blockeringen var många företag tvungna att agera. Till exempel har SignalRGB överfört programvaran till att använda sin egen proprietära ersättning, medan Steelseries helt har inaktiverat funktionen för att visa systemuppgifter på de inbyggda skärmarna i deras hårdvara.

För närvarande har en patch släppts för WinRing0 som begränsar användningen av drivrutinen till program som körs med administratörsrättigheter, men på grund av förändringarna i Microsofts policy kring drivrutiner är det svårt att få en signatur för den nya versionen.

Det kinesiska företaget HYTE, som utvecklar programvara för hårdvaruövervakning HYTE Nexus, där denna drivrutin också används, har erbjudit sig att ta hand om den byråkratiska processen och har meddelat att de kommer att publicera en signerad version för offentlig användning. Även om Microsoft godkänner den uppdaterade drivrutinen, kommer många program för att hantera hårdvaruinställningar och övervakning att behöva köras med administratörsrättigheter eller anpassas för att fungera med den ändrade drivrutinen.

Det finns en enda motsvarighet till WinRing0-drivrutinen som kallas inpout32, som för närvarande inte blockeras av Windows Defender eller antivirusprogram, men den blockeras av populära anti-cheat-program (den mest kända är Vanguard från RIOT, som används i spel som Valorant).

Källa: opennet.ru