Asmmap64 sys как исправить ошибку

Опасные 3rd-party драйверы в вашей системе или LOLDrivers

А вы знали, что вполне легитимный драйвер может дать злоумышленнику возможность прописаться в вашей системе надолго, оставаясь внутри даже после ее переустановки? Или превратить ваш компьютер в кирпич? Например, некоторые безобидные на вид доверенные (подписанные) драйверы являются попутно инструментами для перезаписи BIOS. После такой атаки спасет лишь программатор.

В ОC Windows существуют доверенные приложения/скрипты/библиотеки с дополнительной интересной опасной функциональностью вроде исполнения произвольного кода, загрузки файлов, обхода UAC и т.п. Если подобная дополнительная функциональность встречается у компонента ядра, становится еще интереснее.

Начиная с Windows Vista x64, действует политика Driver Signature Enforcement (DSE) – все драйверы уровня ядра должны быть подписаны. Если злоумышленник (с правами пользователя/администратора) после проникновения в систему жаждет получить максимальный уровень доступа (установить kernel rootkit/bootkit/SMM-rootkit/BIOS-rootkit), ему придется как-то обойти требование подписи для драйвера. Возможность вызова из юзермода некоторых функций или инструкций в режиме ядра может дать злоумышленнику инструмент для повышения привилегий, раскрытия информации или вызова отказа в обслуживании. Назовем такую функциональность функциональностью двойного назначения (в некоторых случаях подобное могут называть уязвимостями или бэкдорами, однако дискуссия на тему корректности определения выходит за рамки этой статьи).

Способы обхода DSE

Давайте рассмотрим, какие вообще варианты есть у злоумышленника для обхода DSE (надо же как-то проникнуть в ring0). В таблице ниже собраны способы обхода DSE с их преимуществами и недостатками (для злоумышленника, а безопасники принимают к сведению). Стоит отметить, что данная информация относится к Windows x64, начиная с Vista.

Как видно по таблице, подписанный драйвер с функциональностю двойного назначения является наиболее привлекательным для атакующего способом обхода DSE.

Опасная функциональность или функциональность двойного назначения

Рассмотрим примеры вредоносных возможностей, которые появляются у злоумышленника при наличии драйвера с опасными функциями двойного назначения.

Исполнение произвольного кода в режиме ядра. Требуется чтение/запись физической памяти и MSR. Смысл заключается в замене адреса (находится в одном из MSR), на который будет осуществлен переход при совершении системного вызова, на адрес расположения кода злоумышленника. Тут можно найти больше информации об этом. Попутно будет мешать PatchGuard, но с ним при желании можно разобраться.

Поскольку драйвер и PatchGuard оба выполняются в Ring 0, ничто не мешает драйверу отключить проверки PatchGuard (до тех пор, конечно, пока Microsoft не прислушается к Intel и не выйдет за рамки модели с двумя кольцами защиты). Разработчики ядра в Microsoft прекрасно осведомлены об этом факте и выполняют различные действия для скрытия расположения этого кода, обфускации его действий и используемых внутренних структур. Иными словами, из-за невозможности помешать вам модифицировать код PatchGuard они пытаются изо всех сил его скрыть.

— Blunden B. The Rootkit arsenal: Escape and evasion in the dark corners of the system.

Given that driver code and PatchGuard code both execute in Ring 0, there’s nothing to prevent a KMD from disabling PatchGuard checks (unless, of course, Microsoft takes a cue from Intel and moves beyond a two-ring privilege model). The kernel engineers at Microsoft are acutely aware of this fact and perform all sorts of programming acrobatics to obfuscate where the code resides, what it does, and the internal data-structures that it manipulates. In other words, they can’t keep you from modifying PatchGuard code, so they’re going to try like hell to hide it.

— Blunden B. The Rootkit arsenal: Escape and evasion in the dark corners of the system.

Если проанализировать различные статьи и заметки о CVE, то можно выделить некоторую классификацию потенциально опасных при доступе из ring3 функций в драйверах. В таблице ниже указаны опасные функции и источники информации о них.

Выявленные опасные функции	Источники информации о способах нарушения безопасности
Чтение/запись регистров MSR	CVE-2018-10711, CVE-2018-18535, CVE-2018-19323, CVE-2007-5633, CVE-2007-5761
Чтение/запись портов ввода/вывода	CVE-2018-10712, CVE-2018-18536, CVE-2018-19322
Чтение/запись физической памяти	CVE-2018-16712, CVE-2018-10710, CVE-2017-15302, CVE-2017-15303, CVE-2018-19321
Чтение/запись управляющих регистров	CVE-2018-10709, Eset — Windows exploitation in 2016
Доступ к счетчикам мониторинга производительности/тактов	Leif Uhsadel, Andy Georges, Ingrid Verbauwhed — Exploiting Hardware Performance Counters
Чтение/запись регистра флагов	Wojtczuk R., Rutkowska J. Following the White Rabbit: Software attacks against Intel VT-d technolog
Инструкции обращения к кэшу	Cache-Based Side-Channel Attacks Detection through Intel Cache Monitoring Technology and Hardware Performance Counters

И это далеко не весь список возможных опасных функций. Можно также говорить и о чтении/записи виртуальной памяти ядра, чтении/записи MMIO, доступе к PCI устройствами т.д.

Наибольший интерес, а также наибольшую опасность (и наибольшую вероятность обнаружить драйвер с такими функциями) представляют первые три функции: чтение/запись регистров MSR, чтение/запись портов ввода/вывода, чтение/запись физической памяти. С помощью управляющих регистров можно обойти некоторые механизмы защиты, запись в регистр флагов позволяет включить чтение/запись портов ввода/вывода в ring3 (кстати, упоминается в этой статье на Хабре), успех атак по сторонним каналам (с помощью обращения к кэшу, счетчиков мониторинга производительности/тактов), скорее всего, маловероятен.

В процессе создания данного материала на конференции DEFCON 27 в Лас-Вегасе исследователи Jesse Michael и Mickey Shkatov представили работу «Get off the kernel if you cant drive», в которой также рассказывается о данной проблеме, и мы рекомендуем изучить данный материал для полноты картины. Здесь очень просто и наглядно расписаны сценарии использования подобных драйверов и представлены примеры участков кода, отвечающих за наиболее критичную функциональность. И также представлен код по работе и поиску подобных драйверов.

Вообще стоит отметить, что данная тема уже достаточно давно волнует исследователей безопасности. Еще в 2018 году исследователь Александр Матросов в своей статье «What makes OS drivers dangerous for BIOS?» поднимал данный вопрос и демонстрировал, как достаточно просто можно проэксплотировать BIOS.

Драйверы с функциями двойного назначения

Ниже рассмотрены наиболее известные представители драйверов с функциями двойного назначения.

RwDrv.sys – очень популярный драйвер (поставляется с утилитой RWeverything). Читает и пишет физическую память, I/O порты, MSR и управляющие регистры. Был неоднократно использован в разных PoC’ах, а потом и в настоящем ранее упомянутом рутките Lojax. Для него написан интерфейс на C++, а также он используется в chipsec.

Читает и пишет физическую память, порты и MSR. Есть несколько PoC-утилит с его использованием (здесь и здесь).

pcdsrvc_x64 – драйвер от Dell, за дополнительной информацией обращаться в этот пост. Позволяет читать/писать физическую память и в I/O порты.

AsIO64.sys

Он предоставляет возможность чтения/записи физической памяти и I/O портов, а также вместе с ним идет удобная dll’ка для выполнения этих запросов.

Asmmap64.sys – еще один драйвер от ASUS, позволяющий читать/писать физическую память, I/O порты и MSR. Для злоумышленника он был бы особенно приятен, поскольку доступ к драйверу может быть осуществлен от обычного пользователя без прав администратора. Любопытные могут обратиться к первоисточнику.

ntiolib_x64.sys/winio64.sys – драйверы от MSI, подробно о них рассказано в ранее упомянутой статье. С помощью ntiolib_x64.sys можно читать/писать физическую память, I/O порты и MSR, winio64.sys предоставляет все эти функции, кроме MSR.

Обычно описанные опасные функции признают уязвимостями, если драйвер доступен пользователю без прав администратора (неправильный ACL) или когда позволяет исполнять произвольный код напрямую (как в bandainamcoonline.sys). В остальных случаях это просто функциональность, и раз у пользователя есть права администратора, то он может использовать все функции драйверов и это норма.

Если вы думаете, что подобных драйверов не больше десятка, то сильно ошибаетесь. Можете посмотреть данную подборку интересных драйверов. В этом списке есть драйверы от ASUS, AVAST, Razer, LG, American Megatrends и других известных компаний. Так что их много, нужно просто поискать. А значит, они представляют реальную угрозу.

Данную угрозу понимают и сотрудники Microsoft. И будут признательны за информацию о подобных драйверах 😉

Рекомендации

Производителям же лучше не подписывать такие драйверы. Если пользователю требуется обновить BIOS, проверить систему на наличие уязвимостей (привет, chipsec), измерить производительность или провести еще какие-нибудь манипуляции, требующие установки подобных драйверов, то он вполне может перейти в Test Mode, сделать все это, а после выйти. Usability в таком случае упадет, зато возрастет security.

Выводы

Если что-то подписано, то доверять этому все равно нельзя. Во-первых, подписать так-то можно что угодно, а во-вторых, этим подписанным (даже если оно от доверенного производителя) может воспользоваться злоумышленник.

Специалистам по информационной безопасности не стоит исключать из модели угроз ситуации, когда злоумышленнику для выполнения атаки требуется драйвер с опасным функционалом. Драйверов таких достаточно, сделать это довольно просто. Если же атака будет проведена не с таким попсовым драйвером, как от RwEverything, а с каким-нибудь менее широко известным, то обнаружить ее будет еще сложнее. Так что надо быть начеку, мониторить такие вещи и не позволять каждому драйверу загружаться в систему.

Источник

Почему происходит долгий вход в систему, висит стартовый экран (windows 10, ssd)?

BOOTLOG_LOADED SystemRootSystem32driversdxgkrnl.sys
BOOTLOG_LOADED SystemRootSystem32driversBasicDisplay.sys
BOOTLOG_NOT_LOADED SystemRootSystem32driversdxgkrnl.sys
[. ]
BOOTLOG_NOT_LOADED SystemRootSystem32driversdxgkrnl.sys
[. ]
BOOTLOG_NOT_LOADED SystemRootSystem32driversdxgkrnl.sys

Собственно, на 99% причина вот в этом. Файл dxgkrnl.sys — ядро графической подсистемы DirectX. Оно уже было успешно загружено в процессе, потом что-то несколько раз безуспешно пыталось загрузить его снова и снова. Шаги предлагаю следующие; после каждого из них перезагружайтесь и смотрите, изменилось ли что. (Дисклеймер: я с Win10 почти не работал, но скорее всего сильно ничего не изменилось.)

Спасибо! Сделал все в точности как вы описали, но к сожалению в моем случае это не привело к положительным результатам. Все кроме Microsoft убрал, ошибки в системных файлах не были найдены, ccleaner что-то подчистил, но это не привело к желаемому результату.

Воспользовался предлагаемой вами утилитой, были выделены пару файлов желтым цветом, я их удалил из реестра (при помощи всплывающего меню этой программы), но увы тоже безуспешно.

Не знаю как правильно выкладывать логи из этой программы, я сделал отдельно скриншот и приложу материал экспортируемый в текстовый файл самой программой.

Огромное спасибо вам за отзывчивость.

PS. Что-то мне подсказывает что-здесь всему виной драйвер, который майкрософт подгрузила с обновлением потому что изначально некоторые драйвера для устройств не были установлены.
Материнская плата ASUS (ноутбук Asus N550JK) процессор i7 4700HQ.

maksim2099: Окей, тогда два вопроса.
1. Когда переустанавливали дрова для видеокарты, новые дрова брали с сайта nVidia или через системные обновления?
2. Можете выложить куда-нибудь на pastebin.com отчёт dxdiag, или хотя бы сделать скриншот со вкладки «дисплей» (или как она там в русскоязычной версии называется)? Лучше отчёт.

Надо понять, что пытается вызвать ядро DirectX. Это либо драйвер видокарты, либо какое-то опциональное приложение или сервис, которое для чего-то обращается к графической подсистеме (на самом деле под это определение может подпадать почти что угодно, если результатом становится графическое отображение чего-либо сложнее обычного системного окна). Я видел в интернете упоминания этой проблемы, но ни одного гарантированного решения. Но если в безопасном режиме проблемы нет, значит, она стопроцентно решаема. В безопасном режиме загружается лишь самое необходимое; значит, есть возможность сымитировать те же условия в рабочем режиме и по очереди включать остальные компоненты.

Драйвера устанавливал и с сайта Nvidia и Asus. результат, к сожалению, одинаков (пробовал чистую установку тоже). Пробовал поочередно выключать видеооборудование (Intel Hd Graphic, Nvidia).

Логи DxDiag
Скриншот добавил к описанию вопроса.

PS. Вчера переустановил Windows, и опять первоначально все было хорошо, но вот через пару перезагрузок, все вернулось на круги своя..

Спасибо вам за оказываемую помощь.

maksim2099: В логе тоже проблем не вижу. Видеодрайвер, вижу, сертифицирован WHQL — значит, Микрософт признал его пригодным. Даже уже и не знаю, что ещё вам предложить, хотя и самому интересно. 🙂

Эх, видимо придётся вам мучать поддержку Микрософта, чтобы они сами со своей стороны разбирались. Судя по тому, что проблема возникает именно на Win10, но не на Win8.1 при прочих равных, это, действительно, почти наверняка косяк со стороны МС.

Источник

Cómo arreglar la pantalla azul RTKVHD64.sys en Windows 10 (10.22.21)

Las pantallas azules de la muerte, también conocidas como BSOD, son realmente una vista frustrante. Aparecen porque Windows ha encontrado un error crítico del cual no se puede recuperar. La mayoría de las veces, son el resultado de un programa de software de bajo nivel que falló o un componente de hardware problemático.

Estos son algunos de los errores BSOD más comunes:

Hay muchas causas posibles de los BSOD. Sin embargo, la mayoría de las veces, se deben a problemas con el controlador o los componentes de hardware. Pero, de nuevo, no debemos olvidar el hecho de que también pueden desencadenarse por problemas con programas de software de bajo nivel que se ejecutan en el nivel del kernel de Windows.

Ahora, las aplicaciones normales que descarga en línea ganaron ‘ No ser capaz de causar BSOD. En caso de que se bloqueen, no incorporarán el sistema operativo.

Consejo profesional: escanee su PC en busca de problemas de rendimiento, archivos basura, aplicaciones dañinas y amenazas de seguridad
que pueden causar problemas del sistema o un rendimiento lento.

Escaneo gratuito para problemas de PC 7, Windows 8

Oferta especial. Acerca de Outbyte, instrucciones de desinstalación, EULA, Política de privacidad.

Cuando Windows encuentra un BSOD, se encuentra con un error STOP. Esta es una falla crítica que resulta en un bloqueo. Y en caso de que esto suceda, todo lo que le queda por hacer a Windows es reiniciar. Esta situación puede conducir a la pérdida de datos porque las aplicaciones y los programas no tuvieron la oportunidad de guardar ningún dato activo.

Vale la pena señalar que los BSOD se ven diferentes de una versión de Windows a otra. Pero en general, aparecen como una pantalla azul con una pantalla de terminal que muestra información sobre el bloqueo.

En este artículo, abordaremos un problema específico de pantalla azul: el BSOD RTKVHD64.sys en Windows 10.

¿Qué es el error de pantalla azul RTKVHD64.sys en Windows 10?

El RTKVHD64.sys es un error de detención de BSOD que provoca un bloqueo del sistema. Cuando sucede, su sistema se vuelve azul y fuerza un reinicio de inmediato. Este problema puede ser muy frustrante ya que puede afectar negativamente la productividad.

Incluso con todos los inconvenientes que trae este problema, sepa que un error BSOD como este juega un papel vital dentro de la plataforma Windows. Esto se debe a que evita cualquier daño grave que, de lo contrario, podría causar un mal funcionamiento de todo el sistema. Debido a que un BSOD a menudo obliga a reiniciar el sistema, el problema se puede resolver de inmediato y el usuario puede continuar trabajando de manera productiva.

Ahora, en el caso de un error RTKVHD64.sys, la historia es completamente diferente. Este error indica que algo anda mal con su sistema, lo que hace que no funcione de manera óptima.

Entonces, ¿qué causa que aparezca el error RTKVHD64.sys? Este problema en particular se desencadena por un controlador de dispositivo problemático, que suele estar asociado con el controlador de audio de alta definición Realtek. Cuando ocurre este BSOD, su audio puede dejar de funcionar. Peor aún, podría haber otros problemas técnicos con el sonido.

Otros posibles desencadenantes son:

Para solucionar este problema, hay un par de pasos básicos para la resolución de problemas que puede realizar.

Pasos básicos para la resolución de problemas del BSOD

Si está ejecutando Windows 10, entonces está de suerte. La mayoría de las veces, su sistema realizará automáticamente métodos de solución de problemas después de reiniciarse o recuperarse de un bloqueo. Pero aún así, vale la pena consultar el Centro de actividades para conocer otros detalles del bloqueo o ver otros métodos útiles de solución de problemas.

Utilice Restaurar sistema

Si es la primera vez que ve un BSOD, Restaurar sistema podría ayudar. Esto le permitirá revertir su sistema a un estado de trabajo anterior. Si este método de resolución de problemas funciona, significa que un determinado programa de software ha provocado el error.

Para utilizar Restaurar sistema, haga lo siguiente:

Alternativamente, puede usar una aplicación de diagnóstico de hardware de terceros. Si realiza una búsqueda rápida en Google, puede encontrar muchas aplicaciones de diagnóstico poderosas que pueden identificar problemas de hardware potenciales o existentes.

Este debería ser el último recurso. Hacer esto eliminará todo lo que haya guardado en su sistema. Si su dispositivo aún arroja un error BSOD después de esto, entonces este es un problema de hardware que debe revisarse.

Para reinstalar Windows, haga lo siguiente:

Si ninguno de los métodos de solución de problemas anteriores funcionó, entonces estos métodos deberían solucionarlo:

Solución # 1: Ejecute la Herramienta de reparación de inicio de Windows.

Windows 10 se crea compilando cientos de elementos y archivos de configuración diferentes. Si ocurre un problema entre estos elementos y archivos, existe la posibilidad de que surja un error.

Pero con tantos archivos por ahí, sería difícil determinar cuál es el culpable. Para eso, necesita una solución más rápida y eficaz: la Herramienta de reparación de inicio de Windows.

La herramienta de reparación de inicio de Windows es una herramienta útil en Windows 10. Se usa ampliamente en casos en los que Windows no se inicia correctamente o cuando tiene problemas que indican un problema en su sistema.

Para usarlo, siga estos pasos:

Si esta solución lo ayudó, solo sugiere que su software de seguridad está causando el error BSOD. Por lo tanto, es posible que desee considerar el uso de otro programa antivirus.

Solución # 7: Actualice su BIOS.

Antes de continuar con este paso, tenga en cuenta que esto es un poco complejo y puede desencadenar problemas más graves si no se realiza correctamente. Si no confía en sus habilidades técnicas, le sugerimos que omita esta solución por completo. Pero si desea probarlo, siga estos pasos:

Ahora, no se recomienda eliminar manualmente los archivos de su disco duro, ya que puede terminar eliminando archivos importantes del sistema, lo que puede ocasionar problemas más graves. Y no queremos que eso suceda. Como opción, intente usar una herramienta de reparación de PC para deshacerse automáticamente de los archivos no deseados.

Solución # 17: Solucione problemas con las entradas del registro.

Para restablecer Windows 10, esto es lo que debe hacer:

Una computadora que está en perfectas condiciones de funcionamiento no debería mostrar ningún problema de pantalla azul. Sin embargo, admitámoslo. Ningún hardware o software está exento de fallas. Incluso la supercomputadora más cara que existe puede encontrar un error BSOD como la pantalla azul RTKVHD64.sys.

Si ha encontrado este error, no se preocupe. Las soluciones que hemos presentado anteriormente deberían ayudarlo a resolverlo. Puede comenzar realizando pasos básicos de solución de problemas, como usar Restaurar sistema, escanear su dispositivo en busca de malware, asegurarse de que sus controladores estén actualizados o iniciar su sistema en modo seguro. Pero ninguno de ellos funciona, pase a soluciones más complejas como desinstalar sus controladores de audio, actualizar su BIOS o hacer retroceder Windows a un estado que funcionaba anteriormente.

Ahora, si cree que ha hecho todo lo que necesitaba puede, pero fue en vano, entonces su mejor opción es buscar ayuda de un técnico profesional de Windows. Puede llevar su dispositivo a un centro de servicio autorizado y hacer que lo revisen. Y luego, déjelos solucionar el problema en su nombre.

¿Cómo resolvió el error RTKVHD64.sys? ¿Conoces otras soluciones que olvidamos incluir en este artículo? Nos encantaría saber de ti. ¡Comenta a continuación!

Video de Youtube: Cómo arreglar la pantalla azul RTKVHD64.sys en Windows 10

Источник

Как исправить ошибки Apsx64.sys типа синий экран (BSOD)

Основными причинами ошибок SYS типа BSOD («синий экран смерти»), связанных с apsx64.sys, являются отсутствие или повреждение драйвера для ThinkVantage Active Protection System или драйвера режима ядра, неисправное оборудование, а также заражение вредоносным ПО. В большинстве случаев скачивание и замена файла SYS позволяет решить проблему. Кроме того, регулярное обновление драйверов вашего устройства поможет предотвратить возникновение ошибок драйверов, связанных с apsx64.sys.

Формат Windows System File с расширением файла SYS классифицируют в качестве Системные файлы. В таблице ниже представлен список доступных для загрузки файлов apsx64.sys, подходящих для большинства версий Windows (включая %%os%%). Если в настоящий момент отсутствует необходимая вам версия apsx64.sys, запросите ей, нажав на кнопку Request (Запрос) рядом с необходимой версией файла. В некоторых случаях, чтобы получить необходимую версию файла, вам может потребоваться связаться непосредственно с Lenovo Group Limited.

После успешного размещения файла в соответствующем месте на жёстком диске подобных проблем, связанных с apsx64.sys, больше возникать не должно. Настоятельно рекомендуем выполнить быструю проверку. Повторно запустите ThinkVantage Active Protection System, чтобы убедиться, что проблема успешно решена.

Идентификатор статьи: 1295614

Apsx64.sys

Выберите версию ОС

Filename	Контрольная сумма MD5	Размер (в байтах)	Загрузить
+ apsx64.sys	c3f190562fe82efda7ccef305ebad3e3	136.61 KB	Запрос
Program ThinkVantage Active Protection System 1.75.0.2 Компания Lenovo Group Limited OS Windows Vista Тип 64-разрядная (x64) Байт 139888 MD5 c3f190562fe82efda7ccef305ebad3e3 Контрольная сумма SHA1 90644684096f3d155d670e4d9d07b0fb7922542c Контрольная сумма SHA256: be809035a9b11945b3bb630f73a7651bbd4d1ea2091060378bcf7ad20003bbe4 CRC32: Расположение файла C:WindowsSystem32DRIVERS

Спасибо, ваш файл запроса был получен.

Распространенные сообщения об ошибках в Apsx64.sys

Ошибки apsx64.sys обычно связаны с синим экраном смерти (BSOD) или ошибкой «Stop»:

Большинство ошибок apsx64.sys BSOD происходят после новой установки нового оборудования или программного обеспечения (ThinkVantage Active Protection System). Ошибки apsx64.sys, связанные с ThinkVantage Active Protection Systems, часто возникают во время установки программного обеспечения, связанного с apsx64.sys, во время завершения работы или запуска Windows или во время загрузки драйвера устройства, связанного с Lenovo Group Limited. Документирование случаев BSOD apsx64.sys является ключевым для определения причины проблемы и сообщения о них Lenovo Group Limited для исправлений.

Apsx64.sys Истоки проблем

Проблемы BSOD, связанные с Apsx64.sys, обычно создаются соответствующим оборудованием, программным обеспечением, драйверами устройств или микропрограммным обеспечением. Эти ошибки apsx64.sys могут быть связаны с аппаратными проблемами Lenovo Group Limited или ThinkVantage Active Protection System во многих случаях.

Именно ошибки apsx64.sys проистекают из:

Источник