• 16.09.2025, 12:00
  • Registrieren
  • Anmelden

  • Sie sind nicht angemeldet.

 

Informationen zu Windows Defender Warnung "HackTool:Win32/Winring0" (AquaComputerService.sys)

Shoggy

Sven - Admin

Informationen zu Windows Defender Warnung "HackTool:Win32/Winring0" (AquaComputerService.sys)

Mittwoch, 12. März 2025, 11:39

Der Windows Defender sowie auch andere Anti-Viren-Software erkennt (immer wieder mal) die Datei AquaComputerService.sys als Gefahr bzw. Virus.



Es handelt sich hierbei nicht um einen Virus!

Diese Datei ist ein Treiber, den die aquasuite seit vielen Jahren für das Hardware Monitoring nutzt (z. B. CPU Temperatur). Der exakt gleiche Treiber wird auch von zahlreichen anderen weitaus populäreren Programmen bzw. Firmen verwendet.

Bei diesem Treiber ist bereits seit längerer Zeit eine Sicherheitslücke (CVE-2020-14979) bekannt. Das Problem besteht darin, dass dem Treiber ein Sicherheitsdeskriptor fehlt und er mit Benutzerrechten aufgerufen werden kann. Da der Treiber tief in das System eingreift, besteht so die Möglichkeit über Umwege Schadcode auszuführen.

Die aquasuite wendet versionsunabhängig bei der Installation des Treibers einen Sicherheitsdeskriptor an, der den Zugriff auf System- und Admin-Rechte beschränkt. Nach aktuellem Wissensstand und eigenen Tests ist das Angriffsszenario so nicht mehr umsetzbar.

Bitte beachten: Installiert irgendeine andere Anwendung bereits vor der aquasuite den Treiber ohne einen entsprechenden Sicherheitsdeskriptor, dann ist der Treiber angreifbar. Dies ist in dem Fall ein Versäumnis der entsprechenden Anwendung.

Wir arbeiten bereits an einer Lösung indem wir eine eigene angepasste Version des Treibers erstellen und bei Microsoft zertifizieren lassen. Dies ist allerdings ein komplexer Prozess und wird daher noch etwas Zeit in Anspruch nehmen.

Wer in der Nutzung weiterhin kein Problem sieht kann den Treiber als Ausnahme definieren. Alternativ kann man in der aquasuite über den Reiter aquasuite -> Hintergrunddienst alle Hardware Monitor Module deaktivieren. Dadurch wird der entsprechende Treiber von der aquasauite nicht mehr geladen. Systemdaten können bei Bedarf weiterhin über HWiNFO oder AIDA64 in die aquasuite übernommen werden.

-=:Cpt.Nemo:=-

Newbie

Donnerstag, 4. September 2025, 07:56

Hallo Shoggy,

leider kommt die Warnmeldung wieder mit dem neuen Windowsdefender update unter Windows10.
https://imgur.com/a/2HCZiKv

sebastian

Administrator

Donnerstag, 4. September 2025, 08:48

Dann musst du den Treiber manuell im Defender auf die Ausnahmeliste nehmen.

-=:Cpt.Nemo:=-

Newbie

Donnerstag, 4. September 2025, 17:10

Zitat von »sebastian«

Dann musst du den Treiber manuell im Defender auf die Ausnahmeliste nehmen.
Direkt schon getan, wollte es Euch nur mitteilen. Zudem scheint FanControl auch davon betroffen zu sein, siehe: https://github.com/Rem0o/FanControl.Releases/issues/3410

zerber

Junior Member

Donnerstag, 4. September 2025, 22:27

Hab die Meldung heute auch bekommen, obwohl die Software nicht mal läuft. Hatte nur mein octo konfiguriert und dann alles an hintergrundservices und autostart deaktiviert.

Neben der AquaComputerService.exe selbst wird auch der Treiber an sich als Bedrohung erkannt (Windows\system32\Drivers\WinRing0x64.sys).

Nach dem ersten Schreck hat sich das bei mir aber schnell geleget als ich den Dateinamen gesehen hatte, da ich von der Ring0 Treiber geschichte schon vorher gehört hatte.

Gamers Nexus hat ein interessantes Video dazu gemacht:
https://www.youtube.com/watch?v=H_O5JtBqODA

Langfristig lässt sich das wohl nur über ein eigenen Treiber lösen.

An der Stelle muss ich die Aqua Computer Hardware aber auch klar loben, da die Einstellungen auf dem Gerät gespeichert werden und diese (je nach konfiguration) auch komplett ohne Software auf dem PC weiter laufen und ihren dienst verreichten. War einer der Hauptgründe, warum ich mich dafür entschieden habe.

sebastian

Administrator

Freitag, 5. September 2025, 07:20

So ganz richtig ist die sache bei Gamers Nexus nicht.
Wenn der Treiber wie bei uns mit restriktiven Rechten installiert wird, kann man die Lücke die das beschrieben wird nicht mehr ausnutzten.
Da Microsoft aber nicht sicherstellen kann das der Treiber "Vernünfig" (restriktiv) installiert wird, wurde er als Angreifbar markiert.

sebastian

Administrator

Samstag, 6. September 2025, 07:44

So kann man das im Defender deaktivieren:
https://support.microsoft.com/en-us/wind…der%20Antivirus

Hans-Hecht

Newbie

Samstag, 6. September 2025, 10:44

Hallo,

ich hab das gleiche Problem.
Seit gestern blockiert der Win Defender den Hintergrunddienst und die Aquasuite bleibt leer.


Würdet Ihr bitte kurz die freizugebenden Dateien + Speicherort aufzählen damit ich diese zur Ausnahme hinzufügen kann?

Vielen Dank

Nachtrag....
Hat sich scheinbar erledigt.
Windows 11 hat noch das "Kumulatives Update für Windows 11 Version 24H2 für x64-basierte Systeme (KB5064081) (26100.5074)" nachgeschoben.
NAch dem Neustart ging alles wieder wie gehabt.

Dieser Beitrag wurde bereits 1 mal editiert, zuletzt von »Hans-Hecht« (6. September 2025, 11:09)

zerber

Junior Member

Samstag, 6. September 2025, 11:50

Nur mal so als gedanke, aber wäre es vielleicht möglich eine "aqua suite lite" zu machen?

Eine Version die darauf ausgelegt ist keine Sensoren etc vom mainboard auszulesen und bei der kein service im hintergrund läuft. Einfach nur die Hardware Konfigurieren und fertig.

Das wäre für mich eigentlich die schönste lösung.

LiniXXus

Junior Member

Samstag, 6. September 2025, 11:56

Ist heute bei mir auch passiert.


Habe mal folgendes ausgeschlossen und seither ist nichts mehr blockiert worden.


Wobei in meinem Fall nur die Temperaturen des Systems, VRM und PCH betroffen waren, die von meinem Mainboard ausgelesen werden.
Habe mal nachgeschaut, die ausgeschlossene SYS Datei ist jetzt auch wieder im Verzeichnis vorhanden.


Mit dem ausschließen scheint bei mir funktioniert zu haben.
Mal sehen, ob es so bleibt.

EDIT: Wahrscheinlich reicht es bereits aus, das komplette Aquasuite Verzeichnis auszuschließen.

Dieser Beitrag wurde bereits 3 mal editiert, zuletzt von »LiniXXus« (6. September 2025, 12:05)

grumpydude

Junior Member

Samstag, 6. September 2025, 13:55

hab das Problem auch. Habe Defender gesagt, dass es das erlauben soll

LiniXXus

Junior Member

Samstag, 6. September 2025, 18:47

Ist wohl noch nicht ganz erledigt.
Heute Abend nach dem Hochfahren des Rechners fehlten in der Übersichtsseite wieder Werte.

Auf diesem Screenshot sind sie mit dabei.
Aber ich merke, wenn der Defender seine Finger im Spiel hat, wenn in der Markierung nichts ausgeben wird.


Anscheint, hat er wegen einer TMP-Datei jetzt gemeckert.



Habe den Defender deaktiviert, die Aquasuite mit Adminrechte neu gestartet und dann den Hintergrunddienst beendet und neu gestartet. Danach ist wieder alles mit dabei gewesen und im Anschluss habe ich den Defender wieder aktiviert. Seither wird nichts ausgeschlossen und es wird weiterhin alles ausgegeben. Selbst nach einem Neustart des Rechners. Also momentan habe ich nichts unternommen, da ich schlecht das komplette SystemTemp Verzeichnis ausschließen kann.

Dieser Beitrag wurde bereits 3 mal editiert, zuletzt von »LiniXXus« (6. September 2025, 19:02)

LiniXXus

Junior Member

Samstag, 6. September 2025, 20:16

Was ich jetzt auch am Austesten bin, sind die Prozesse dazu mit auszuschließen.


Da sich auch der Prozessname dazu ausschließen lässt.


Ob das nun so klappt, muss ich noch ersehen.

LiniXXus

Junior Member

Montag, 8. September 2025, 15:20

Mit den letzten Einträgen lief bisher die Aquasuite mit dem Defender problemlos.

Ähnliche Themen