Intel NUC WinRing0 易受攻击驱动 - 永久移除指南

Windows Defender 将 OpenHardwareMonitorLib.sys（WinRing0 驱动）标记为 VulnerableDriver:WinNT/Winring0，原因是 CVE-2020-14979。该驱动与 Intel 的 NUC Software Studio 服务捆绑，并通过 Windows Update 重新安装。

本仓库提供永久解决方案。

问题所在

1. Intel 的 performancedriverextension.inf 安装 NucSoftwareStudioService
2. 该服务部署 OpenHardwareMonitorLib.sys（WinRing0 内核驱动）
3. Windows Defender 将其检测为易受攻击驱动（CVE-2020-14979）
4. Windows Update 的 Intel Corporation - Extension - 1.0.0.38 不断重新安装
5. 标准移除方法无法阻止重新安装

根本原因

Intel NUC Performance Driver（ACPI\INTC1036）是一个 ACPI 设备，负责暴露 NUC 特定功能：

• 风扇控制（可软件调节的风扇曲线）
• LED 控制（RGB/电源 LED 定制）
• 温度监控
• 电源管理

易受攻击的扩展挂载到此基础驱动上。Windows Update 检测到该设备后，会为其提供驱动更新。

解决方案（任选其一）

选项 A：永久禁用设备（推荐）

此方案通过组策略完全禁用 ACPI 设备，阻止任何驱动加载。

以管理员身份运行 scripts/disable-device-gpo.ps1，或手动执行：

# 以管理员身份运行
.\scripts\disable-device-gpo.ps1

选项 B：仅阻止驱动更新

保留基础驱动，但阻止所有针对该设备的 Windows Update 驱动安装。

权衡取舍：

• 设备使用当前基础驱动仍可正常工作
• 将不会收到未来驱动更新（包括安全更新）

以管理员身份运行 scripts/block-driver-updates.ps1。

选项 C：手动清理 + 隐藏更新

持久性较弱 - 如果 Intel 发布新版本，需要重新隐藏。

以管理员身份运行 scripts/remove-and-hide.ps1。

快速诊断

检查当前状态：

.\scripts\diagnose.ps1

文件位置参考

验证

应用任何解决方案后，请验证：

# 检查服务是否消失
sc.exe query NucSoftwareStudioService

# 检查是否有未决的 Intel 扩展更新
# （运行 scripts/diagnose.ps1 查看完整状态）

验证测试

GPO 阻止 vs Windows Update（测试日期：2025-01-17）

场景： 验证组策略设备阻止（选项 A）能否在 Windows Update 尝试安装易受攻击驱动后仍然生效。

测试步骤：

1. 对 ACPI\INTC1036 应用 GPO 阻止（设备已禁用）
2. 移除广泛的 Windows Update 驱动排除注册表项（恢复正常的更新行为）
3. 在 Windows Update 中取消隐藏“Intel Corporation - Extension - 1.0.0.38”
4. 允许 Windows Update 下载并安装该包
5. 重启系统

Windows Update 安装该包后的结果：

关键发现： GPO 设备阻止是有效的保护层。Windows Update 可以将驱动包暂存至驱动存储，但无法激活，因为硬件 ID 已被阻止。易受攻击的 .sys 文件从未被提取或加载。

完全清理（测试日期：2025-01-17）

确认 GPO 阻止生效后，完成完整清理：

1. 从驱动存储中移除暂存驱动：pnputil /delete-driver oem17.inf
2. 通过 wushowhide.diagcab 隐藏 Intel 扩展更新

最终验证状态：

建议

仅硬件 ID 阻止就足以提供充分保护。

测试证明，通过组策略阻止 ACPI\INTC1036 可以防止易受攻击驱动加载，即使 Windows Update 成功下载并暂存了驱动包。由于目标设备已被禁用，服务可执行文件和 .sys 文件永远不会被提取。

推荐最小配置：

• ✓ 针对 ACPI\INTC1036 的 GPO 设备阻止 —— 这是唯一必需的防护措施
• ✓ 通过 wushowhide 隐藏 Intel 扩展 —— 可选，可避免重复下载/暂存
• ✗ 广泛的驱动排除注册表项 —— 不需要，会干扰其他驱动的正常更新
• ✗ 复杂的驱动存储监控 —— 不需要，被阻止的驱动无法激活

此方法的简洁性正是其优势：一个基于注册表的设备阻止就能提供完整保护，而不会干扰其他设备的正常 Windows Update 功能。

你会失去什么（以及什么仍然有效）

当 Intel NUC Performance Driver 设备（ACPI\INTC1036）被禁用时：

不再可用：

• Intel NUC Software Studio 应用程序
• 软件控制的风扇曲线（通过 Windows 的自定义配置文件）
• 软件控制的 LED/RGB 定制
• 通过 Intel 工具的基于 Windows 的温度监控
• 依赖此驱动获取 NUC 特定功能的任何第三方应用程序

仍然正常工作：

• BIOS 配置的风扇配置（在 BIOS 中设置，独立运行）
• BIOS 配置的 LED 设置
• 硬件热保护（CPU 降频、紧急关机）
• 所有其他系统功能、Windows Update、其他驱动
• 标准 Windows 温度监控（任务管理器、其他工具）

为什么这对大多数用户是可接受的： NUC Performance Driver 主要实现风扇/LED 行为的软件定制。BIOS 提供了无需任何 Windows 驱动即可正常工作的默认配置。大多数用户会在 BIOS 中设置一次风扇曲线，之后再也不碰。如果你需要基于 Windows 的动态风扇控制（例如，自动切换的游戏配置），选项 A 可能不合适——考虑选项 B。

恢复更改

重新启用设备：

# 移除组策略阻止
Remove-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions" -Recurse -Force

# 重新启用设备
$device = Get-PnpDevice | Where-Object { $_.InstanceId -like '*INTC1036*' }
Enable-PnpDevice -InstanceId $device.InstanceId -Confirm:$false

解除驱动更新阻止：

Remove-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions" -Recurse -Force

参考

• CVE-2020-14979 - WinRing0 权限提升
• Microsoft 易受攻击驱动阻止列表

贡献

如果您有其他发现或改进建议，请提交 Issue 或 PR。

许可

MIT 许可证 - 使用风险自负。始终在运行前验证脚本，并以管理员身份执行。