Intel NUC WinRing0 angreifbarer Treiber – Anleitung zur dauerhaften Entfernung

Windows Defender kennzeichnet OpenHardwareMonitorLib.sys (WinRing0-Treiber) als VulnerableDriver:WinNT/Winring0 aufgrund von CVE-2020-14979. Dieser Treiber wird mit dem Intel NUC Software Studio-Dienst gebündelt und über Windows Update erneut installiert.

Dieses Repository bietet eine dauerhafte Lösung.

Das Problem

1. Intels performancedriverextension.inf installiert NucSoftwareStudioService
2. Der Dienst stellt OpenHardwareMonitorLib.sys (WinRing0-Kernel-Treiber) bereit
3. Windows Defender erkennt ihn als angreifbaren Treiber (CVE-2020-14979)
4. Windows Update Intel Corporation - Extension - 1.0.0.38 installiert ihn immer wieder neu
5. Standardmethoden zur Entfernung verhindern keine Neuinstallation

Ursache

Der Intel NUC Performance Driver (ACPI\INTC1036) ist ein ACPI-Gerät, das NUC-spezifische Funktionen bereitstellt:

• Lüftersteuerung (software-einstellbare Kurven)
• LED-Steuerung (RGB/Netz-LED-Anpassung)
• Thermalüberwachung
• Energieverwaltung

Die angreifbare Erweiterung hakt in diesen Basistreiber ein. Windows Update erkennt das Gerät und bietet Treiberaktualisierungen dafür an.

Lösungen (Eine auswählen)

Option A: Gerät dauerhaft deaktivieren (empfohlen)

Dies deaktiviert das ACPI-Gerät vollständig über Gruppenrichtlinien und verhindert, dass Treiber geladen werden.

Führen Sie scripts/disable-device-gpo.ps1 als Administrator aus, oder manuell:

# Run as Administrator
.\scripts\disable-device-gpo.ps1

Option B: Nur Treiberupdates blockieren

Behält den Basistreiber, blockiert aber alle Windows Update-Treiberinstallationen für dieses Gerät.

Nachteile:

• Gerät bleibt mit aktuellem Basistreiber funktionsfähig
• Erhält keine zukünftigen Treiberupdates (Sicherheit oder andere)

Führen Sie scripts/block-driver-updates.ps1 als Administrator aus.

Option C: Manuelle Bereinigung + Update ausblenden

Weniger dauerhaft – erfordert erneutes Ausblenden, wenn Intel neue Versionen veröffentlicht.

Führen Sie scripts/remove-and-hide.ps1 als Administrator aus.

Schnelldiagnose

Überprüfen Sie Ihren aktuellen Status:

.\scripts\diagnose.ps1

Referenz der Dateipfade

Überprüfung

Nach Anwendung einer Lösung überprüfen:

# Check service is gone
sc.exe query NucSoftwareStudioService

# Check no pending Intel extension updates
# (Run scripts/diagnose.ps1 for full status)

Validierungstests

GPO-Block vs. Windows Update (getestet am 2025-01-17)

Szenario: Überprüfen, ob der Geräteblock über Gruppenrichtlinien (Option A) Windows Update übersteht, das versucht, den angreifbaren Treiber zu installieren.

Testablauf:

1. GPO-Block für ACPI\INTC1036 angewendet (Gerät deaktiviert)
2. Breite Windows Update-Treiberausschluss-Registry entfernt (normales Updateverhalten)
3. "Intel Corporation - Extension - 1.0.0.38" in Windows Update wieder eingeblendet
4. Windows Update das Herunterladen und Installieren des Pakets erlaubt
5. System neu gestartet

Ergebnisse nachdem Windows Update das Paket installiert hat:

Wichtigste Erkenntnis: Der GPO-Geräteblock ist die effektive Schutzebene. Windows Update kann das Treiberpaket im Treiberspeicher bereitstellen, kann es jedoch nicht aktivieren, da die Hardware-ID blockiert ist. Die angreifbare .sys-Datei wird nie extrahiert oder geladen.

Vollständige Bereinigung (getestet am 2025-01-17)

Nach Bestätigung, dass der GPO-Block gehalten hat, vollständige Bereinigung durchgeführt:

1. Bereitgestellten Treiber aus dem Speicher entfernt: pnputil /delete-driver oem17.inf
2. Intel-Erweiterungsupdate über wushowhide.diagcab ausgeblendet

Endgültiger überprüfter Zustand:

Empfehlung

Der Hardware-ID-Block allein bietet ausreichenden Schutz.

Tests haben gezeigt, dass das Blockieren von ACPI\INTC1036 über Gruppenrichtlinien verhindert, dass der angreifbare Treiber jemals geladen wird, selbst wenn Windows Update das Treiberpaket erfolgreich herunterlädt und bereitstellt. Die Dienstprogrammdatei und die .sys-Datei werden nie extrahiert, da das Zielgerät deaktiviert ist.

Empfohlene minimale Konfiguration:

• ✓ GPO-Geräteblock für ACPI\INTC1036 – Dies ist der einzige erforderliche Schutz
• ✓ Intel-Erweiterung über wushowhide ausblenden – Optional, verhindert wiederholtes Herunterladen/Bereitstellen
• ✗ Breite Treiberausschluss-Registry – Nicht erforderlich, beeinträchtigt legitime Treiberupdates
• ✗ Komplexe Überwachung des Treiberspeichers – Nicht erforderlich, blockierte Treiber können nicht aktiviert werden

Die Einfachheit dieses Ansatzes ist seine Stärke: Ein einzelner Registry-basierter Geräteblock bietet vollständigen Schutz, ohne die normale Windows Update-Funktionalität für andere Geräte zu beeinträchtigen.

Was Sie verlieren (und was weiterhin funktioniert)

Wenn das Intel NUC Performance Driver-Gerät (ACPI\INTC1036) deaktiviert ist:

Nicht mehr verfügbar:

• Intel NUC Software Studio-Anwendung
• Software-gesteuerte Lüfterkurven (benutzerdefinierte Profile über Windows)
• Software-gesteuerte LED/RGB-Anpassung
• Windows-basierte Temperaturüberwachung über Intel-Tools
• Alle Drittanbieter-Apps, die für NUC-spezifische Funktionen von diesem Treiber abhängen

Funktioniert weiterhin normal:

• Im BIOS konfigurierte Lüfterprofile (im BIOS eingestellt, laufen unabhängig)
• Im BIOS konfigurierte LED-Einstellungen
• Hardware-Temperaturschutz (CPU-Drosselung, Notabschaltung)
• Alle anderen Systemfunktionen, Windows Update, andere Treiber
• Standard-Windows-Temperaturüberwachung (Task-Manager, andere Tools)

Warum dies für die meisten Benutzer akzeptabel ist: Der NUC Performance Driver ermöglicht hauptsächlich Software-Anpassungen des Lüfter-/LED-Verhaltens. Das BIOS bietet Standardprofile, die ohne Windows-Treiber funktionieren. Die meisten Benutzer stellen Lüfterkurven einmal im BIOS ein und ändern sie nie wieder. Wenn Sie eine dynamische Windows-basierte Lüftersteuerung benötigen (z. B. Gaming-Profile, die automatisch umschalten), ist Option A möglicherweise nicht geeignet – ziehen Sie stattdessen Option B in Betracht.

Änderungen rückgängig machen

Um das Gerät wieder zu aktivieren:

# Remove the Group Policy block
Remove-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions" -Recurse -Force

# Re-enable the device
$device = Get-PnpDevice | Where-Object { $_.InstanceId -like '*INTC1036*' }
Enable-PnpDevice -InstanceId $device.InstanceId -Confirm:$false

Um Treiberupdates zu entsperren:

Remove-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions" -Recurse -Force

Referenzen

• CVE-2020-14979 – WinRing0 Privilegienausweitung
• Microsoft Vulnerable Driver Blocklist

Mitwirken

Wenn Sie weitere Erkenntnisse oder Verbesserungen haben, eröffnen Sie bitte ein Issue oder PR.

Lizenz

MIT-Lizenz – Verwendung auf eigenes Risiko. Überprüfen Sie Skripte immer, bevor Sie sie als Administrator ausführen.