Intel NUC WinRing0 취약 드라이버 - 영구 제거 가이드

Windows Defender는 OpenHardwareMonitorLib.sys(WinRing0 드라이버)를 CVE-2020-14979로 인해 VulnerableDriver:WinNT/Winring0로 플래그합니다. 이 드라이버는 Intel의 NUC Software Studio 서비스에 번들로 제공되며 Windows Update를 통해 다시 설치됩니다.

이 저장소는 영구적인 해결책을 제공합니다.

문제

1. Intel의 performancedriverextension.inf가 NucSoftwareStudioService를 설치합니다.
2. 서비스가 OpenHardwareMonitorLib.sys(WinRing0 커널 드라이버)를 배포합니다.
3. Windows Defender가 이를 취약 드라이버로 감지합니다(CVE-2020-14979).
4. Windows Update Intel Corporation - Extension - 1.0.0.38이 계속해서 재설치합니다.
5. 표준 제거 방법은 재설치를 방지하지 않습니다.

근본 원인

Intel NUC 성능 드라이버(ACPI\INTC1036)는 NUC 특정 기능을 노출하는 ACPI 장치입니다:

• 팬 제어 (소프트웨어 조정 가능 곡선)
• LED 제어 (RGB/전원 LED 사용자 지정)
• 열 모니터링
• 전원 관리

취약한 확장 기능이 이 기본 드라이버에 연결됩니다. Windows Update는 장치를 보고 드라이버 업데이트를 제공합니다.

해결 방법 (하나 선택)

옵션 A: 장치를 영구적으로 비활성화 (권장)

그룹 정책을 통해 ACPI 장치를 완전히 비활성화하여 드라이버 로드를 방지합니다.

관리자 권한으로 scripts/disable-device-gpo.ps1을 실행하거나 수동으로 수행하십시오:

# Run as Administrator
.\scripts\disable-device-gpo.ps1

옵션 B: 드라이버 업데이트만 차단

기본 드라이버는 유지하지만 이 장치에 대한 모든 Windows Update 드라이버 설치를 차단합니다.

절충점:

• 장치는 현재 기본 드라이버로 기능 유지
• 향후 드라이버 업데이트(보안 또는 기타)를 받지 않음

관리자 권한으로 scripts/block-driver-updates.ps1을 실행합니다.

옵션 C: 수동 정리 + 업데이트 숨기기

영구적이지 않음 - Intel이 새 버전을 출시하면 다시 숨겨야 합니다.

관리자 권한으로 scripts/remove-and-hide.ps1을 실행합니다.

빠른 진단

현재 상태 확인:

.\scripts\diagnose.ps1

파일 위치 참조

확인

솔루션 적용 후 확인:

# Check service is gone
sc.exe query NucSoftwareStudioService

# Check no pending Intel extension updates
# (Run scripts/diagnose.ps1 for full status)

검증 테스트

GPO 차단 vs Windows Update (2025-01-17 테스트 완료)

시나리오: 그룹 정책 장치 차단(옵션 A)이 Windows Update의 취약 드라이버 설치 시도에서도 유지되는지 확인합니다.

테스트 절차:

1. ACPI\INTC1036에 GPO 차단 적용 (장치 비활성화)
2. 광범위한 Windows Update 드라이버 제외 레지스트리 제거 (정상 업데이트 동작)
3. Windows Update에서 "Intel Corporation - Extension - 1.0.0.38" 숨기기 해제
4. Windows Update가 패키지를 다운로드 및 설치하도록 허용
5. 시스템 재부팅

Windows Update가 패키지를 설치한 후 결과:

주요 발견 사항: GPO 장치 차단이 효과적인 보호 계층입니다. Windows Update는 드라이버 패키지를 드라이버 저장소에 스테이징할 수 있지만 하드웨어 ID가 차단되어 활성화할 수 없습니다. 취약한 .sys 파일은 추출되거나 로드되지 않습니다.

완전 정리 (2025-01-17 테스트 완료)

GPO 차단이 유지됨을 확인한 후 전체 정리 완료:

1. 저장소에서 스테이징된 드라이버 제거: pnputil /delete-driver oem17.inf
2. wushowhide.diagcab을 통해 Intel 확장 업데이트 숨김

최종 확인 상태:

권장 사항

하드웨어 ID 차단만으로도 충분한 보호가 됩니다.

테스트 결과, 그룹 정책을 통해 ACPI\INTC1036을 차단하면 Windows Update가 드라이버 패키지를 성공적으로 다운로드하고 스테이징하더라도 취약한 드라이버가 로드되지 않도록 방지합니다. 대상 장치가 비활성화되어 있기 때문에 서비스 실행 파일과 .sys 파일은 추출되지 않습니다.

권장 최소 구성:

• ✓ ACPI\INTC1036에 대한 GPO 장치 차단 — 이것이 유일하게 필요한 보호 조치입니다.
• ✓ wushowhide를 통해 Intel 확장 숨기기 — 선택 사항, 반복 다운로드/스테이징 방지
• ✗ 광범위한 드라이버 제외 레지스트리 — 필요하지 않음, 정당한 드라이버 업데이트를 방해함
• ✗ 복잡한 드라이버 저장소 모니터링 — 필요하지 않음, 차단된 드라이버는 활성화할 수 없음

이 접근 방식의 단순성이 강점입니다: 단일 레지스트리 기반 장치 차단으로 다른 장치의 정상적인 Windows Update 기능을 방해하지 않으면서 완전한 보호를 제공합니다.

상실되는 기능 (그리고 여전히 작동하는 것)

Intel NUC 성능 드라이버 장치(ACPI\INTC1036)가 비활성화되면:

더 이상 사용할 수 없음:

• Intel NUC Software Studio 애플리케이션
• 소프트웨어 제어 팬 곡선 (Windows를 통한 사용자 정의 프로필)
• 소프트웨어 제어 LED/RGB 사용자 지정
• Intel 도구를 통한 Windows 기반 열 모니터링
• NUC 특정 기능을 위해 이 드라이버에 의존하는 모든 타사 앱

여전히 정상 작동:

• BIOS 구성 팬 프로필 (BIOS에서 설정, 독립 실행)
• BIOS 구성 LED 설정
• 하드웨어 열 보호 (CPU 스로틀링, 비상 종료)
• 기타 모든 시스템 기능, Windows Update, 기타 드라이버
• 표준 Windows 온도 모니터링 (작업 관리자, 기타 도구)

대부분의 사용자에게 이것이 수용 가능한 이유: NUC 성능 드라이버는 주로 팬/LED 동작의 소프트웨어 사용자 지정을 가능하게 합니다. BIOS는 Windows 드라이버 없이 작동하는 기본 프로필을 제공합니다. 대부분의 사용자는 BIOS에서 팬 곡선을 한 번 설정하고 다시는 건드리지 않습니다. 동적인 Windows 기반 팬 제어(예: 자동 전환 게임 프로필)가 필요한 경우 옵션 A는 적합하지 않을 수 있습니다. 대신 옵션 B를 고려하십시오.

변경 사항 되돌리기

장치를 다시 활성화하려면:

# Remove the Group Policy block
Remove-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions" -Recurse -Force

# Re-enable the device
$device = Get-PnpDevice | Where-Object { $_.InstanceId -like '*INTC1036*' }
Enable-PnpDevice -InstanceId $device.InstanceId -Confirm:$false

드라이버 업데이트 차단 해제:

Remove-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions" -Recurse -Force

참고 자료

• CVE-2020-14979 - WinRing0 권한 상승
• Microsoft 취약 드라이버 차단 목록

기여

추가 발견 사항이나 개선 사항이 있으면 이슈 또는 PR을 열어 주십시오.

라이선스

MIT 라이선스 - 사용에 따른 책임은 본인에게 있습니다. 관리자 권한으로 실행하기 전에 항상 스크립트를 확인하십시오.