Controlador Vulnerable WinRing0 de Intel NUC - Guía de Eliminación Permanente

Windows Defender marca OpenHardwareMonitorLib.sys (controlador WinRing0) como VulnerableDriver:WinNT/Winring0 debido a CVE-2020-14979. Este controlador se incluye con el servicio NUC Software Studio de Intel y se reinstala a través de Windows Update.

Este repositorio ofrece una solución permanente.

El Problema

1. El performancedriverextension.inf de Intel instala NucSoftwareStudioService
2. El servicio despliega OpenHardwareMonitorLib.sys (controlador de kernel WinRing0)
3. Windows Defender lo detecta como un controlador vulnerable (CVE-2020-14979)
4. Windows Update Intel Corporation - Extension - 1.0.0.38 sigue reinstalándolo
5. Los métodos de eliminación estándar no impiden la reinstalación

Causa Raíz

El Intel NUC Performance Driver (ACPI\INTC1036) es un dispositivo ACPI que expone funciones específicas de NUC:

• Control del ventilador (curvas ajustables por software)
• Control de LED (personalización del LED RGB/de encendido)
• Monitorización térmica
• Gestión de energía

La extensión vulnerable se integra en este controlador base. Windows Update detecta el dispositivo y le ofrece actualizaciones de controlador.

Soluciones (Elija Una)

Opción A: Deshabilitar el Dispositivo Permanentemente (Recomendada)

Esto deshabilita por completo el dispositivo ACPI mediante la Directiva de Grupo, evitando que se cargue cualquier controlador.

Ejecute scripts/disable-device-gpo.ps1 como Administrador, o manualmente:

# Run as Administrator
.\scripts\disable-device-gpo.ps1

Opción B: Bloquear Solo las Actualizaciones del Controlador

Mantiene el controlador base, pero bloquea todas las instalaciones de controladores de Windows Update para este dispositivo.

Compensaciones:

• El dispositivo sigue siendo funcional con el controlador base actual
• No recibirá futuras actualizaciones del controlador (de seguridad o de otro tipo)

Ejecute scripts/block-driver-updates.ps1 como Administrador.

Opción C: Limpieza Manual + Ocultar la Actualización

Menos permanente: requiere volver a ocultarla si Intel publica nuevas versiones.

Ejecute scripts/remove-and-hide.ps1 como Administrador.

Diagnóstico Rápido

Compruebe su estado actual:

.\scripts\diagnose.ps1

Referencia de Ubicaciones de Archivos

Componente	Ruta
Ejecutable del servicio	C:\WINDOWS\System32\DriverStore\FileRepository\performancedriverextension.inf_amd64_*\Service\NucSoftwareStudioService.exe
Controlador vulnerable	...\Service\OpenHardwareMonitorLib.sys
INF del controlador base	oem*.inf (PerformanceDriver)
INF de la extensión	performancedriverextension.inf

Verificación

Después de aplicar cualquier solución, verifique:

# Check service is gone
sc.exe query NucSoftwareStudioService

# Check no pending Intel extension updates
# (Run scripts/diagnose.ps1 for full status)

Pruebas de Validación

Bloqueo por GPO vs Windows Update (Probado el 2025-01-17)

Escenario: Verificar que el bloqueo del dispositivo mediante Directiva de Grupo (Opción A) sobrevive al intento de Windows Update de instalar el controlador vulnerable.

Procedimiento de prueba:

1. Se aplicó el bloqueo por GPO para ACPI\INTC1036 (dispositivo deshabilitado)
2. Se eliminó del registro la exclusión amplia de controladores de Windows Update (comportamiento de actualización normal)
3. Se mostró de nuevo "Intel Corporation - Extension - 1.0.0.38" en Windows Update
4. Se permitió que Windows Update descargara e instalara el paquete
5. Se reinició el sistema

Resultados después de que Windows Update instalara el paquete:

Comprobación	Resultado
NucSoftwareStudioService	No encontrado (bien)
Almacén de controladores	performancedriverextension.inf almacenado como oem17.inf
OpenHardwareMonitorLib.sys	No extraído (bien)
Dispositivo INTC1036	Deshabilitado - el bloqueo por GPO se mantuvo
Registro del bloqueo por GPO	Activo

Hallazgo clave: El bloqueo del dispositivo por GPO es la capa de protección efectiva. Windows Update puede almacenar el paquete del controlador en el almacén de controladores, pero no puede activarlo porque el ID de hardware está bloqueado. El archivo .sys vulnerable nunca se extrae ni se carga.

Limpieza Completa (Probado el 2025-01-17)

Después de confirmar que el bloqueo por GPO se mantuvo, se completó la limpieza total:

1. Se eliminó el controlador almacenado del almacén: pnputil /delete-driver oem17.inf
2. Se ocultó la actualización de la extensión de Intel mediante wushowhide.diagcab

Estado final verificado:

Componente	Estado
NucSoftwareStudioService	No encontrado ✓
Almacén de controladores (performancedriverextension.inf)	Limpio ✓
OpenHardwareMonitorLib.sys	No presente ✓
Dispositivo Intel NUC Performance Driver	Deshabilitado ✓
Bloqueo del dispositivo por Directiva de Grupo	Activo (INTC1036 bloqueado) ✓
Actualización de la extensión de Intel	Ocultada ✓

Recomendación

El bloqueo del ID de hardware por sí solo es protección suficiente.

Las pruebas demostraron que bloquear ACPI\INTC1036 mediante la Directiva de Grupo impide que el controlador vulnerable se cargue alguna vez, incluso cuando Windows Update descarga y almacena correctamente el paquete del controlador. El ejecutable del servicio y el archivo .sys nunca se extraen porque el dispositivo de destino está deshabilitado.

Configuración mínima recomendada:

• ✓ Bloqueo del dispositivo por GPO para ACPI\INTC1036 — Esta es la única protección necesaria
• ✓ Ocultar la extensión de Intel mediante wushowhide — Opcional, evita la descarga y el almacenamiento repetidos
• ✗ Exclusión amplia de controladores en el registro — No es necesaria, interfiere con las actualizaciones legítimas de controladores
• ✗ Monitorización compleja del almacén de controladores — No es necesaria, los controladores bloqueados no pueden activarse

La simplicidad de este enfoque es su fortaleza: un único bloqueo de dispositivo basado en el registro proporciona una protección completa sin interferir con la funcionalidad normal de Windows Update para otros dispositivos.

Lo Que Se Pierde (y Lo Que Sigue Funcionando)

Cuando el dispositivo Intel NUC Performance Driver (ACPI\INTC1036) está deshabilitado:

Ya no disponible:

• La aplicación Intel NUC Software Studio
• Curvas de ventilador controladas por software (perfiles personalizados mediante Windows)
• Personalización de LED/RGB controlada por software
• Monitorización térmica basada en Windows mediante las herramientas de Intel
• Cualquier aplicación de terceros que dependa de este controlador para funciones específicas de NUC

Sigue funcionando con normalidad:

• Perfiles de ventilador configurados en la BIOS (se establecen en la BIOS y funcionan de forma independiente)
• Ajustes de LED configurados en la BIOS
• Protección térmica por hardware (limitación de la CPU, apagado de emergencia)
• Todas las demás funciones del sistema, Windows Update y otros controladores
• Monitorización estándar de temperatura de Windows (Administrador de tareas, otras herramientas)

Por qué esto es aceptable para la mayoría de los usuarios: El NUC Performance Driver permite principalmente la personalización por software del comportamiento del ventilador y el LED. La BIOS proporciona perfiles predeterminados que funcionan sin ningún controlador de Windows. La mayoría de los usuarios configuran las curvas del ventilador una vez en la BIOS y nunca vuelven a tocarlas. Si necesita un control dinámico del ventilador basado en Windows (por ejemplo, perfiles de juego que cambian automáticamente), la Opción A puede no ser adecuada; considere la Opción B en su lugar.