WinDivert 64.sys — драйвер перехвата сетевого трафика¶

WinDivert 64.sys — файл системного драйвера (.sys), входящий в состав пакета WinDivert (Windows Divert) — свободной библиотеки с открытым исходным кодом для перехвата, модификации и фильтрации сетевого трафика в пользовательском пространстве Windows. Драйвер работает на уровне ядра и предоставляет приложениям доступ к пакетам до и после их обработки стеком TCP/IP. Файл WinDivert64.sys предназначен для 64-разрядных версий Windows и обычно размещается в системной директории драйверов или в каталоге установленного приложения.

¶Назначение и принцип работы

WinDivert построен поверх драйвера Windows Filtering Platform (WFP) и служит мостом между сетевым стеком и пользовательскими программами. При установке пакета файл WinDivert64.sys регистрируется в системе как служба драйвера и загружается ядром при запуске. После этого приложение может открывать «фильтры» с заданными условиями (по IP-адресам, портам, протоколам) и получать копии проходящих пакетов.

Типичные сценарии использования:

• перехват и перенаправление трафика (например, для прокси-серверов и VPN-клиентов);
• блокировка соединений на уровне пакетов;
• модификация заголовков TCP/IP;
• анализ сетевого трафика без установки NDIS-фильтров;
• реализация пользовательских файрволов и DPI-систем.

Библиотека распространяется под лицензией LGPL и поддерживается разработчиком Николаем Лебедевым (Nicholas J. Lebedev). Проект доступен на GitHub и активно используется в коммерческих и исследовательских продуктах.

¶Причины появления файла в системе

Файл WinDivert64.sys не входит в состав Windows и появляется только после установки программного обеспечения, которое использует библиотеку WinDivert. Среди известных категорий такого ПО:

• VPN-клиенты и прокси-утилиты;
• программы для обхода блокировок и маршрутизации трафика;
• сетевые мониторы и анализаторы пакетов;
• некоторые онлайн-игры и античит-системы, использующие перехват трафика;
• утилиты для эмуляции сетевых подключений.

После удаления основного приложения файл драйвера может остаться в системе, если деинсталлятор не снимает регистрацию службы. Это приводит к тому, что драйвер продолжает загружаться при старте Windows, что воспринимается пользователями как «лишний» или «подозрительный» файл.

¶Как удалить WinDivert 64.sys

¶Через диспетчер служб

1. Нажать Win + R, ввести services.msc и открыть диспетчер служб.
2. Найти службу с именем, содержащим WinDivert (например, WinDivert 1.4 или WinDivert 2.2).
3. Остановить службу и изменить её тип запуска на «Отключена».
4. Удалить файл WinDivert64.sys из каталога, в котором он расположен (обычно это папка установленного приложения или %SystemRoot%\System32\drivers).

¶Через командную строку

Для снятия регистрации драйвера используется служба sc:

`` sc stop WinDivert sc delete WinDivert ``

После этого файл WinDivert64.sys можно удалить вручную. Если файл заблокирован системой, потребуется перезагрузка в безопасном режиме.

¶Через реестр

Служба драйвера регистрируется в ветке HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinDivert. Удаление соответствующего раздела и перезагрузка компьютера снимают драйвер с загрузки.

¶Через средства удаления программ

Если файл принадлежит конкретному приложению (VPN-клиенту, утилите), рекомендуется сначала удалить это приложение штатным способом через «Приложения и возможности» в параметрах Windows. После удаления стоит проверить, осталась ли служба WinDivert, и снять её регистрацию описанными выше методами.

¶Меры предосторожности

Удаление драйвера безопасно, если ни одно установленное приложение не использует WinDivert. Перед удалением рекомендуется убедиться, что:

• VPN-клиент или утилита, установившая драйвер, действительно удалена;
• после удаления служба не пересоздаётся автоматически при запуске программы;
• в диспетчере задач отсутствуют процессы, активно использующие WinDivert64.sys.

В ряде случаев файл восстанавливается при повторной установке программного обеспечения, которое зависит от библиотеки. Если драйвер нужен для работы конкретного продукта, его удаление приведёт к отказу этого продукта.

¶Интересные факты

• WinDivert поддерживает Windows начиная с Vista и работает на всех актуальных версиях, включая Windows 10 и Windows 11.
• Библиотека не требует подписи драйвера в режиме тестовой подписи, если используется в контексте разработки, но в продакшене драйвер должен быть подписан соответствующим сертификатом.
• Проект используется в ряде исследовательских работ по анализу сетевого трафика и в отечественных разработках для маршрутизации пакетов.

Источники: официальная документация WinDivert (GitHub, repository nicholasjlebedev/WinDivert); Microsoft Docs — Windows Filtering Platform; Sysinternals — Autoruns documentation.