Intel NUC WinRing0 Driver Vulnerável - Guia de Remoção Permanente

O Windows Defender sinaliza OpenHardwareMonitorLib.sys (driver WinRing0) como VulnerableDriver:WinNT/Winring0 devido a CVE-2020-14979. Este driver é empacotado com o serviço Intel NUC Software Studio e é reinstalado via Windows Update.

Este repositório fornece uma solução permanente.

O Problema

1. O arquivo performancedriverextension.inf da Intel instala NucSoftwareStudioService
2. O serviço implanta OpenHardwareMonitorLib.sys (driver de kernel WinRing0)
3. O Windows Defender o detecta como um driver vulnerável (CVE-2020-14979)
4. O Windows Update Intel Corporation - Extension - 1.0.0.38 continua reinstalando-o
5. Métodos de remoção padrão não impedem a reinstalação

Causa Raiz

O Intel NUC Performance Driver (ACPI\INTC1036) é um dispositivo ACPI que expõe recursos específicos do NUC:

• Controle de ventilador (curvas ajustáveis por software)
• Controle de LED (customização de LED RGB/de energia)
• Monitoramento térmico
• Gerenciamento de energia

A extensão vulnerável se conecta a este driver base. O Windows Update vê o dispositivo e oferece atualizações de driver para ele.

Soluções (Escolha Uma)

Opção A: Desabilitar Permanentemente o Dispositivo (Recomendado)

Isso desabilita o dispositivo ACPI completamente via Política de Grupo, impedindo que qualquer driver seja carregado.

Execute scripts/disable-device-gpo.ps1 como Administrador, ou manualmente:

# Run as Administrator
.\scripts\disable-device-gpo.ps1

Opção B: Bloquear Apenas Atualizações de Driver

Mantém o driver base, mas bloqueia todas as instalações de driver do Windows Update para este dispositivo.

Compensações:

• O dispositivo permanece funcional com o driver base atual
• Não receberá futuras atualizações de driver (de segurança ou outras)

Execute scripts/block-driver-updates.ps1 como Administrador.

Opção C: Limpeza Manual + Ocultar Atualização

Menos permanente - requer re-ocultar se a Intel lançar novas versões.

Execute scripts/remove-and-hide.ps1 como Administrador.

Diagnóstico Rápido

Verifique seu status atual:

.\scripts\diagnose.ps1

Referência de Localizações de Arquivos

Verificação

Após aplicar qualquer solução, verifique:

# Check service is gone
sc.exe query NucSoftwareStudioService

# Check no pending Intel extension updates
# (Run scripts/diagnose.ps1 for full status)

Teste de Validação

Bloqueio GPO vs Windows Update (Testado em 2025-01-17)

Cenário: Verificar se o bloqueio do dispositivo via Política de Grupo (Opção A) sobrevive à tentativa do Windows Update de instalar o driver vulnerável.

Procedimento de teste:

1. Aplicou bloqueio GPO para ACPI\INTC1036 (dispositivo desabilitado)
2. Removeu a exclusão ampla de driver do Windows Update do registro (comportamento normal de atualização)
3. Reexibiu "Intel Corporation - Extension - 1.0.0.38" no Windows Update
4. Permitiu que o Windows Update baixasse e instalasse o pacote
5. Reiniciou o sistema

Resultados após o Windows Update instalar o pacote:

Conclusão principal: O bloqueio do dispositivo via GPO é a camada de proteção eficaz. O Windows Update pode preparar o pacote de driver no repositório de drivers, mas não pode ativar porque o ID de hardware está bloqueado. O arquivo .sys vulnerável nunca é extraído ou carregado.

Limpeza Completa (Testado em 2025-01-17)

Após confirmar que o bloqueio GPO se manteve, realizou-se a limpeza completa:

1. Removeu o driver preparado do repositório: pnputil /delete-driver oem17.inf
2. Ocultaou a atualização da extensão Intel via wushowhide.diagcab

Estado final verificado:

Recomendação

O bloqueio do ID de hardware por si só é proteção suficiente.

Os testes demonstraram que bloquear ACPI\INTC1036 via Política de Grupo impede que o driver vulnerável seja carregado, mesmo quando o Windows Update baixa e prepara o pacote de driver com sucesso. O executável do serviço e o arquivo .sys nunca são extraídos porque o dispositivo alvo está desabilitado.

Configuração mínima recomendada:

• ✓ Bloqueio do dispositivo via GPO para ACPI\INTC1036 — Esta é a única proteção necessária
• ✓ Ocultar a extensão Intel via wushowhide — Opcional, evita baixar/preparar repetidamente
• ✗ Exclusão ampla de driver no registro — Não é necessária, interfere com atualizações legítimas de driver
• ✗ Monitoramento complexo do repositório de drivers — Não é necessário, drivers bloqueados não podem ser ativados

A simplicidade desta abordagem é sua força: um único bloqueio de dispositivo baseado em registro fornece proteção completa sem interferir na funcionalidade normal do Windows Update para outros dispositivos.

O Que Você Perde (e o Que Ainda Funciona)

Quando o dispositivo Intel NUC Performance Driver (ACPI\INTC1036) está desabilitado:

Não está mais disponível:

• Aplicativo Intel NUC Software Studio
• Curvas de ventilador controladas por software (perfis personalizados via Windows)
• Customização de LED/RGB controlada por software
• Monitoramento térmico baseado no Windows via ferramentas Intel
• Quaisquer aplicativos de terceiros que dependem deste driver para recursos específicos do NUC

Ainda funciona normalmente:

• Perfis de ventilador configurados na BIOS (definidos na BIOS, executam independentemente)
• Configurações de LED configuradas na BIOS
• Proteção térmica de hardware (limitação da CPU, desligamento de emergência)
• Todas as outras funções do sistema, Windows Update, outros drivers
• Monitoramento padrão de temperatura do Windows (Gerenciador de Tarefas, outras ferramentas)

Por que isso é aceitável para a maioria dos usuários: O NUC Performance Driver habilita principalmente a customização por software do comportamento do ventilador/LED. A BIOS fornece perfis padrão que funcionam sem qualquer driver Windows. A maioria dos usuários define as curvas do ventilador uma vez na BIOS e nunca mais as tocam. Se você precisar de controle dinâmico de ventilador baseado no Windows (por exemplo, perfis de jogos que alternam automaticamente), a Opção A pode não ser adequada — considere a Opção B.

Revertendo Alterações

Para reabilitar o dispositivo:

# Remove the Group Policy block
Remove-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions" -Recurse -Force

# Re-enable the device
$device = Get-PnpDevice | Where-Object { $_.InstanceId -like '*INTC1036*' }
Enable-PnpDevice -InstanceId $device.InstanceId -Confirm:$false

Para desbloquear atualizações de driver:

Remove-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions" -Recurse -Force

Referências

• CVE-2020-14979 - Escalação de Privilégio no WinRing0
• Lista de Bloqueio de Drivers Vulneráveis da Microsoft

Contribuindo

Se você tiver descobertas adicionais ou melhorias, por favor abra uma issue ou PR.

Licença

Licença MIT - Use por sua conta e risco. Sempre verifique os scripts antes de executar como Administrador.