Служба WinRing0 не запускается: файл не найден или заблокирован драйвер
Симптомы сбоя запуска драйвера WinRing0
При запуске диагностических утилит (Open Hardware Monitor, Libre Hardware Monitor, ThrottleStop, Razer Synapse) программа выдает ошибку «WinRing0 driver failed to open» или «Failed to start WinRing0 service». В системном журнале Windows фиксируется Event ID 7000 с ошибками 0x80070002 (Не удается найти указанный файл) или 0xC0000428 / 0xC0000603 (Драйвер заблокирован политикой целостности).
| Код ошибки | Где отображается | Причина |
|---|---|---|
| Event ID 7000 (0x80070002) | Журнал System | Файл WinRing0x64.sys физически отсутствует по зарегистрированному в ImagePath пути |
| Event ID 7000 (0xC0000428) | Журнал System | Центр безопасности Windows заблокировал драйвер из-за отозванного цифрового сертификата |
| Code 48 в Диспетчере устройств | Диспетчер устройств | Драйвер заблокирован механизмом Microsoft Vulnerable Driver Blocklist (HVCI) |
Пошаговое восстановление и разблокировка WinRing0
- Проверьте регистрацию и путь к файлу службы в системном реестре:
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\WinRing0_1_2_0" | Select-Object ImagePath, Start, Type - Восстановите физический файл драйвера: скопируйте оригинальный
WinRing0x64.sysиз каталога целевой программы в системную папку драйверов ядра:Copy-Item -Path ".\WinRing0x64.sys" -Destination "C:\Windows\System32\drivers\WinRing0x64.sys" -Force - Отключите принудительную блокировку уязвимых драйверов (при необходимости): Microsoft блокирует WinRing0 из-за известных CVE. Для временного запуска системных утилит отключите список блокировки через реестр:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\CI\Config" -Name "VulnerableDriverBlocklistEnable" -Value 0 -Type DWord -Force - Перерегистрируйте и запустите службу через консоль:
sc.exe stop WinRing0_1_2_0; sc.exe delete WinRing0_1_2_0; sc.exe create WinRing0_1_2_0 type= kernel binPath= "C:\Windows\System32\drivers\WinRing0x64.sys"; sc.exe start WinRing0_1_2_0
Внимание: Драйвер WinRing0 позволяет непривилегированным процессам выполнять прямой доступ к портам ввода-вывода (I/O ports) и регистрам MSR процессора. Постоянное отключение VulnerableDriverBlocklistEnable создает вектор для локальной эскалации привилегий (LPE).
Частые вопросы (FAQ)
Почему Microsoft блокирует WinRing0 в Windows 10/11 и Server 2022?
Драйвер содержит архитектурную уязвимость, позволяющую вредоносному ПО модифицировать регистры процессора в обход защиты ядра и системных механизмов PatchGuard.
Чем заменить утилиты, использующие WinRing0?
Используйте современные инструменты мониторинга (HWiNFO64, AIDA64), которые используют собственные подписанные и безопасные драйверы ядра, соответствующие требованиям WHQL.
Как функция 'Изоляция ядра' (Core Isolation) влияет на запуск WinRing0?
Технология Memory Integrity (HVCI) в изоляции ядра на аппаратном уровне гипервизора отсекает запуск драйверов из черного списка уязвимостей, делая работу WinRing0 невозможной без отключения изоляции ядра.
Как удалить оставшиеся следы службы WinRing0 из системы?
Выполните sc.exe delete WinRing0_1_2_0 и удалите связанную ветку реестра HKLM\SYSTEM\CurrentControlSet\Services\WinRing0_1_2_0.