Sgrmagent sys ошибка windows 10

0xc0000001 Windows 10 при загрузке

Содержание

• Почему появляется эта ошибка
• Удаление проблемных программ
• Восстановление загрузки ОС через среду восстановления Windows
  • Восстановление загрузки системы с установочного носителя
• Восстановление системы через среду восстановления Windows
• Работа с командной строкой
  • Проверка жесткого диска
  • Проверка файлов системы
  • Восстановление файла SAM
• Исправление проблем с ОЗУ
• Переустановить Windows
  • Видео — Исправляем все ошибки в Windows 10

Перезагружаем ПК и нажимаем в начале его загрузки клавиши «Shift+F8»

Нажимаем «Поиск и устранение неисправностей»

Кликаем по иконке «Дополнительные параметры»

Щелкаем «Параметры загрузки»

Выбираем «Перезагрузить»

После перезапуска ПК нажимаем «F4»

Нажимаем «Win+I»

В меню «Параметры» нажимаем «Система»

Нажимаем «Приложения и возможности» щелкаем справа на название программы, нажимаем «Удалить»

Перезагружаем компьютер

Переходим по URL-адресу, нажимаем «Скачать средство сейчас»

Запускаем инструмент после загрузки двойным щелчком левой кнопки мыши

Щелкаем «Принять»

Выбираем «Создать установочный носитель» и нажимаем «Далее»

Проверяем параметры носителя и нажимаем «Далее»

Вставляем в USB-порт USB-Flash накопитель

Выбираем параметр «USB-устройство флэш-памяти» и нажимаем «Далее»

Выделяем вставленный накопитель и нажимаем «Далее»

Процесс загрузки системы на USB-Flash

Во время перезагрузки компьютера нажимаем «F8», «F12» или «Esc» для открытия «Boot Menu»

Выбираем записанный установочный диск USB Flash для загрузки

Нажимаем любую клавишу

Выбираем язык, систему, ее разрядность и нажимаем «Далее»

Нажимаем по опции «Восстановление системы»

Нажимаем «Поиск и устранение неисправностей»

Выбираем «Восстановление при загрузке»

Выбираем учетную запись

Вводим ее пароль и щелкаем «Продолжить»

Нажимаем по опции «Вернуть в исходное состояние»

Ожидаем завершения процесса восстановления

При неудачной попытке восстановления проделываем те же действия снова

Выбираем «Восстановление системы»

Нажимаем «Далее»

Выбираем точку с датой и временем до появления указанной ошибки и нажимаем «Далее»

Щелкаем «Готово»

Нажимаем «Да»

Процесс восстановления файлов

Завершение восстановления системы

Щелкаем «Командная строка»

Набираем в строке «chkdsk C: /f» и нажимаем «Enter»

Набираем в строке «sfc /scannow» и нажимаем «Enter»

Печатаем «copy C:WindowsRepairSam C:WindowsSystem32Config» и нажимаем «Enter»

Выключаем компьютер и вынимаем его шнур из розетки 220В

Отключаем от ПК разъемы всех устройств

Откручиваем винты, удерживающие крышку блока ПК справа

Сдвигаем крышку вдоль системного блока на 1-2 см в сторону разъемов ПК

В компьютере ОЗУ вставляется в виде планок

Специальные разъемы платы ПК для планок ОЗУ

Тянем боковые защелки, удерживающие планку памяти, освобождая ее

Вынимаем планку ОЗУ

Чистим планки от пыли и загрязнений, устранив перегрев и плохой контакт в их разъемах

Вставляем почищенную или новую планку до защелкивания разъемов

Выбираем «Установить»

Нажимаем «У меня нет ключа…», или вводим ключ и нажимаем «Далее»

Выбираем версию ОС и нажимаем «Далее»

Отмечаем галочкой «Я принимаю…» и нажимаем «Далее»

Щелкаем «Выборочная»

Выбираем раздел для установки и нажимаем «Далее»

Ожидаем завершения установки Windows и перезагрузки ПК

Нажимаем по опции «Использовать стандартные параметры»

Жмем «Далее»

Рабочий стол Windows 10 после переустановки

Иногда после включения компьютера вместо стандартного экрана выводится сообщение о невозможности загрузить систему с указанием ошибки 0XC0000001 при запуске Windows. Ситуация относится к критическим по характеру, потому что пользоваться ПК никак нельзя. Рассмотрим причины, которые могут спровоцировать такую неисправность, а также методы устранения неполадки.

Почему появляется эта ошибка

Код ошибки 0xc0000001 часто указывает на проблемы с загрузочным устройством компьютера или что некоторые загрузочные файлы повреждены. Ошибка может появляться и при проблемах с загрузочным сектором ПК.

Ошибка появляется в результате:

1. Искажения или повреждения файла SAM (системного хранилища учетных данных). Этот файл важен для запуска Windows, и если файл удален или имеет повреждения, процесс загрузки остановится.
2. Повреждения системных файлов ОС. Ошибка может появляться, если ключевые файлы системы, связанные с загрузкой, повреждаются при проблемах записи на диск, перебоях питания или вирусных атаках.
3. Нарушения целостности файловой системы. Иногда файловая система сильно повреждается в результате вирусной атаки, плохого питания ПК и т.д.
4. Повреждения ОЗУ. Ошибка может быть результатом различных проблем с оперативной памятью (ОЗУ) ПК.

Причины возникновения неполадки

Прежде чем приступить к ликвидации неисправности важно понять, в чём её суть, что обусловит дальнейшую работу по восстановлению системы. Ошибка 0XC0000001 специалистами в области компьютерных технологий относится к довольно непростым сбоям, предполагающим определённые трудности при выполнении восстановительных работ, так как выявить первопричину неполадки довольно сложно. Однозначным является факт, что подобный прецедент свойственный исключительно компьютерным устройствам портативного или стационарного вида, работающим на ОС Windows, а вот со всем остальным придётся разбираться. Как показывает практика, сообщение с обусловленным шифром зачастую возникает без наличия имеющихся на это явных причин, при корректной работе лэптопа и правильном завершении работы после его предварительной эксплуатации. Причин для появления прецедента, согласно утверждениям профессионалов может быть несколько, и практически все они имеют системный характер:

1. Повреждение данных, содержащихся в файле Security Accounts Manager, который включает в себя информационные материалы учётной записи пользователя, являющиеся фундаментальными при загрузке ОС.
2. Системная неполадка в файле под именем winload.efi, работоспособность которого обуславливает возможность запуска ПК.
3. Предшествующая неисправности модернизация ПК посредством замены деталей лэптопа, или же установка дополнительных комплектующих, в частотности, планки ОЗУ.
4. Проблемы с оперативной памятью ПК, которые, в силу постепенного, количественного нарастания неисправностей, вылились в ошибку, с обусловленным кодом.

Судя из причин, стоит быть готовым к предстоящему, продолжительному, тяжёлому и структурному восстановлению системы, однако, паниковать в этом случае не стоит, так как варианты устранения неполадки существуют, и при правильном выполнении работ, пользователь сможет справиться самостоятельно с обусловленным сбоем.

Если ошибке не устранена, необходимо выполнить следующие шаги с помощью установочного носителя Windows.

Для создания установочного носителя с образом Windows 10 необходимо воспользоваться средством Media Creation Tool.

Шаг 1. На другом компьютере загрузить указанное средство, перейдя по URL-адресу: https://www.microsoft.com/ru-ru/software-download/windows10 и щелкнув «Скачать средство сейчас».

Справка! Скачанный файл обычно находится в «Загрузках» браузера.

Шаг 2. Запустить инструмент после загрузки двойным щелчком левой кнопкой мыши.

Шаг 3. Щелкнуть «Принять».

Шаг 4. Выбрать «Создать установочный носитель» и нажать «Далее».

Шаг 5. Проверить параметры носителя и нажать «Далее».

Шаг 6. Вставить в USB-порт USB-Flash накопитель.

Шаг 7. Выбрать параметр «USB-устройство флэш-памяти» и нажать «Далее».

Шаг 8. Выделить вставленный накопитель и нажать «Далее».

Шаг 9. Начнется загрузка системы на USB-Flash.

Восстановление загрузки системы с установочного носителя

Шаг 1. Перезагрузить компьютер и нажимать «F8», «F12» или «Esc» для открытия «Boot Menu».

Шаг 2. Выбрать записанный установочный диск USB Flash для загрузки.

Примечание! Порядок выбора первого устройства загрузки на конкретном ПК можно узнать в его документации.

Шаг 3. Нажать любую клавишу.

Шаг 4. При запуске с USB-Flash выбрать язык, систему, ее разрядность и нажать «Далее».

Шаг 5. Нажать по опции «Восстановление системы».

Шаг 6. Щелкнуть «Поиск неисправностей…».

Шаг 7. Выбрать «Восстановление при загрузке».

Система начнет восстановление.

Шаг 8. Выбрать учетную запись.

Шаг 9. Ввести ее пароль и щелкнуть «Продолжить».

Шаг 10. Нажать по опции «Вернуть в исходное состояние».

Система восстановит запуск ОС.

Если система выдаст предупреждение, что восстановление не выполнено, перезагрузить ПК, загрузиться с USB-Flash и повторить шаги этого раздела еще раз.

Шаг 11. Проверить ПК на ошибку.

Восстановление системы через среду восстановления Windows

Важно! Восстановление системы может привести к потере важных файлов, поэтому при возможности рекомендуется сначала выполнить их резервное копирование на внешний носитель.

Шаг 1. Выполнить Шаги 1-6 раздела «Восстановление загрузки системы…».

Шаг 2. Выбрать «Восстановление системы».

Шаг 3. Нажать «Далее».

Шаг 4. Выбрать точку с датой и временем до появления указанной ошибки и нажать «Далее».

Шаг 5. Щелкнуть «Готово».

Шаг 6. Нажать «Да».

Система проведет перезагрузку и выполнит восстановление компьютера до выбранной пользователем точки.

Обзор «Install Windows Error Code 0Xc1»

Эксперты обычно называют «Install Windows Error Code 0Xc1» «ошибкой времени выполнения». Чтобы убедиться, что функциональность и операции работают в пригодном для использования состоянии, разработчики программного обеспечения, такие как Microsoft Corporation, выполняют отладку перед выпусками программного обеспечения. К сожалению, такие проблемы, как ошибка 0xC1, могут быть пропущены, и программное обеспечение будет содержать эти проблемы при выпуске.

Пользователи Windows Installer могут столкнуться с сообщением об ошибке после выполнения программы, например «Install Windows Error Code 0Xc1». После того, как об ошибке будет сообщено, Microsoft Corporation отреагирует и быстро исследует ошибки 0xC1 проблемы. Затем Microsoft Corporation исправляет эти дефектные записи кода и сделает обновление доступным для загрузки. Таким образом, в этих случаях разработчик выпустит обновление программы Windows Installer, чтобы исправить отображаемое сообщение об ошибке (и другие сообщенные проблемы).

Работа с командной строкой

Проверка жесткого диска

При ошибках файловой системы используется утилита CHKDSK, сканирующая жесткий диск (HDD) и исправляющая его ошибки.

Шаг 1. Выполнить Шаги 1-6 раздела «Восстановление загрузки системы…».

Шаг 2. Щелкнуть «Командная строка».

Шаг 3. Набрать в строке «chkdsk C: /f» и нажать «Enter». Дождаться окончания диагностики и восстановления системы.

Справка! На месте литеры «C:» должна находиться буква диска с расположенной на нем Windows.

Проверка файлов системы

Для проверки и перезаписи файлов системы применяется команда SFC.

Шаг 1. Набрать в строке «sfc /scannow» и нажать «Enter».

Шаг 2. Дождаться окончания сканирования и перезаписи файлов из резервной копии.

Восстановление файла SAM

В случае повреждения хранилища SAM, можно скопировать его рабочий вариант из резервной папки.

Шаг 1. Напечатать: «copy C:WindowsRepairSam C:WindowsSystem32Config» и нажать «Enter».

Шаг 2. На возможный вопрос о замене файла нажать клавишу «Y» («Да»).

Ошибка 0xc0000001 при загрузке и установке windows 7, 8, 10: методы решения

Код ошибки 0xc0000001 Windows возможно исправить самостоятельно, имея запас времени и терпения. В такой ситуации уместно создать носитель Windows. Скачайте на накопитель, другое внешнее устройство свою версию ОС с сайта компании (ссылка ниже).

Восстановление системы

Восстановление работы операционки в некоторых случаях помогает избежать ошибки 0xc0000001 при следующем запуске. При установке с накопителя выставите внешний носитель в качестве приоритетного:

• во время загрузки нажмите F11;
• выставите приоритет.
• зайдите в «Восстановление системы»;
• кликните “Поиск и устранение неполадок”;

• раздел “Дополнительные параметры”;
• выберите “Параметры загрузки” → “Enter”.

ПК перезагрузится, неисправность будет устранена.

Настройка параметров загрузки

Попробуйте изменить параметры запуска Виндовс для устранения ошибки 0xc0000001:

• Выключите ПК.
• При загрузке компьютера сразу нажмите клавиши SHIFT + F8 (F9/F10).
• Выберите действие “See advanced repair options” / “Дополнительные варианты восстановления”, раздел “Troubleshoot” / “Поиск и устранение неисправностей”.
• В открывшемся меню нажмите “Advanced options” / “Дополнительные параметры”.

• В следующем меню кликните “Startup Settings” / “Параметры загрузки”.
• Выбираем “Перезагрузить”.
• При следующем запуске операционной системы проблема не появится.

Проверка ошибок файловой системы

Ошибки хранения файлов – возможная причина возникновения 0xc0000001. Просканировать её проще всего, запустив chkdsk. Эта же программа исправляет часть найденных ошибок автоматически. Запускаем:

• загрузить ПК с установочного диска;
• задать язык, время, ввод клавиатуры;
• откройте командную строку, впишите команду chkdsk C: /f (С – диск, f – исправление ошибок на нём);
• впишите Y (yes) → Enter;
• ждите окончания проверки.

Сканирование системных файлов

Проверка file system – ещё один способ избавиться от ошибки 0xc0000001.

Выполняем первые 4 пункта из предыдущего способа, но в командной строке вписываем sfc /scannow /. Ждём окончания работы утилиты, перезагружаем компьютер.

Исправление проблем с ОЗУ

Указанная ошибка может появляться после установки в ПК «свежей» линейки оперативной памяти, ее загрязнения или плохой ее работы.

Для проверки ОЗУ потребуется вскрытие корпуса ПК.

Шаг 1. Выключить компьютер и вынуть его шнур из розетки 220В.

Шаг 2. Отключить от ПК разъемы всех устройств, запомнив или записав его порядок.

Шаг 3. Открутить винты, удерживающие крышку блока ПК справа (смотреть с направления разъемов). Возможно также, что крышка удерживается защелками, которые следует оттянуть.

Шаг 4. Сдвинуть крышку вдоль системного блока на 1-2 см в сторону разъемов ПК, выводя ее из зацеплений, затем повернуть ее вбок и снять.

ОЗУ в ПК устанавливается в виде планок.

Планки ОЗУ вставляются в специальные разъемы платы ПК.

Шаг 5. Снять с рук статический заряд, взявшись руками за обычный кран, предотвратив разряд между телом и компонентами ПК. Начать работу с планками ОЗУ:

• если в компьютере установлено более одной планки, можно снять одну из них, использовав остальные для проверки загрузки Windows;
• если в ПК имеется планка, установленная недавно, снять ее;
• если установлена одна планка, можно заменить ее аналогичной (см. характеристики ОЗУ в документации на ПК).

Шаг 6. Потянуть боковые защелки, удерживающие планку памяти, освобождая ее.

Шаг 7. Вынуть планку ОЗУ.

Шаг 8. Почистить планки от пыли и загрязнений, устранив перегрев и плохой контакт в их разъемах.

Шаг 9. Вставить почищенную или новую планку до защелкивания разъемов, учитывая наличие выступов на планке, блокирующих ее неправильную установку.

Шаг 10. Собрать компьютер в порядке, обратном его разборке, и проверить его на наличие ошибки.

Как исправить ошибку 0x0000001a memory management

Как правило, «синий экран смерти» с помощью кода указывает, почему персональный компьютер не в состоянии корректно работать. Далеко не все пользователи обладают специальными знаниями, чтобы выполнить исправления согласно конкретной причине, зашифрованной в шестнадцатеричном коде. Но если знать возможные факторы возникновения неполадки, исправить ее легко, так как каждый из них можно попробовать устранить по отдельности.

Исправление на Windows 10

1. Если после подключения нового оборудования на Windows 10 начала появляться ошибка memory management, то решение проблемы заключается в новом устройстве. Убедиться в этом можно, отключив устройство от компьютера. Если синий экран исчез, то причина кроется в несоответствии драйвера устройства и ядра ОС. Необходимо обновить драйвер либо дождаться выхода обновления, если такого еще нет. Если к компьютеру одновременно были подключены несколько устройств, то нужно по очереди их отключать, чтобы определить, какое из них привело к конфликту.
2. Некоторые обновления управляющих файлов не соответствуют ОС Windows 10. Их автоматическое обновление часто приводит к системному конфликту. Необходимо откатить драйвер к более давней версии, если нам известно, какое именно ПО несовместимо с данной версией виндовс. Это можно сделать, вызвав Диспетчер устройств сочетанием клавиш Win+R. Как правило, операционка интересуется, по какой причине нам необходимо откатить определенный драйвер. Следует поставить галочку напротив «Предыдущая версия драйвера была надежнее».
3. Ошибка memory management с кодом x0000001a на Windows 10 может появиться из-за действия вируса. Даже если установлен надежный антивирус, некоторые вредоносные программы в состоянии обойти его. Лучше всего просканировать компьютер вручную действующим антивирусом или с помощью утилиты CureIT! от разработчиков Dr.Web.
4. Вирусы найдены и уничтожены, а проблема так и не решилась – такое часто бывает, если вредоносные программы успели наследить и повредить некоторые файлы. Найти битые файлы и восстановить их можно с помощью утилиты SFC. Для этого сочетанием клавиш Win+X вызываем меню, в котором кликаем на строчку «Командная строка». В появившемся окошке вводим exe/scannow, после чего начинается проверка. Программа выявит некорректные файлы, главное, после окончания операции не забыть перезагрузить компьютер.
5. Любое неисправное оборудование может быть причиной ошибки memory management. Чаще всего страдает оперативная память. При наличии нескольких линеек ОП следует определить, какая из них неисправна. Для этого нужно по очереди извлекать лепестки из системного блока или соответствующего отсека на дне ноутбука. Если линейка всего одна, можно попробовать прочистить контакты. Когда это не поможет, то оперативку придется заменить. Если неисправно любое другое устройство: видеокарта, жесткий диск, материнка, то после замены ошибка больше не появится.
6. Устаревший BIOS необходимо обновить, чтобы ПК снова начал нормально работать. При перезагрузке следует войти в меню BIOSа, узнать информацию о текущей версии и производителе. После этого необходимо зайти на сайт разработчика, скачать более современную версию и установить ее на компьютер.

Исправление на Windows 7

1. Для устранения bsod memory management, возникшего по причине недостаточного объема оперативной памяти, нужно добавить дополнительную линейку оперативки. В противном случае запустить тяжелую программу или работать сразу с несколькими будет невозможно.
2. Увесистые программы заставляют ПК усиленно работать и выделять тепло. Иногда именно это предшествует различным неполадкам. Можно попробовать разобрать системный блок, очистить комплектующие от пыли, хорошо прочистить кулер ЦП и заменить термопасту на процессоре.
3. Справиться с мусором в Реестре поможет программка CClеаner. Следует во вкладке Реестр задать команду «Поиск проблемы». После устранения неполадок нужно перезагрузить компьютер.

Переустановить Windows

Если перечисленные шаги не устранили ошибку 0x0000001, установить Windows заново.

Часто переустановка системы при указанной ошибке решает проблему быстрее, чем длительный поиск ее причин.

Шаг 1. Выполнить Шаги 1-4 раздела «Восстановление загрузки системы…».

Шаг 2. Выбрать «Установить».

Шаг 3. Нажать «У меня нет ключа…» или ввести ключ и нажать «Далее».

Шаг 4. Выбрать версию ОС и нажать «Далее».

Шаг 5. О и нажать «Далее».

Шаг 6. Щелкнуть «Выборочная».

Шаг 7. Выбрать раздел для установки и нажать «Далее».

Дождаться проведения установки Windows и перезагрузки ПК.

Шаг 8. После перезагрузки компьютера провести стандартную настройку Windows, нажав по опции «Использовать стандартные параметры».

Откроется рабочий стол. Windows 10 будет установлена.

Приведенные выше шаги позволяют эффективно справиться с ошибкой 0x0000001 в ОС Windows.

Подведение итогов

В статье описаны методы борьбы с ошибкой 0XC0000001, обуславливающей невозможность запуска компьютера, а, соответственно, выливающейся в проблему, накладывающую «табу» на дальнейшую эксплуатацию ноутбука. При последовательном выполнении описанных манипуляций, на определённом этапе работы, который обуславливается причиной появления сбоя, проблема будет устранена.

Эффективный вариант борьбы с ошибкой – форматирование системного раздела винчестера и переустановка Windows, однако, метод относится к радикальным решениям проблемы, потому его, в целях рационализации процесса, оставляют на крайний случай: зачастую для устранения неисправности обусловленной категории до этого не доходит, однако, сбрасывать его полностью со счетов не стоит, иногда без этой процедуры не обойтись.

Имейте в виду, что данная ошибка может быть связана не только с программным обеспечением, но и с реальными неполадками оборудования. Иногда проблема решается удалением модуля Wi-Fi или недавно установленной планки памяти. Но эта проблема может появиться и при вышедшей из строя видеокарте или даже блоке питания. Поэтому если программные методы, вплоть до переустановки системы, не помогают, возможно, стоит обратиться к специалисту и поискать неисправность в самом компьютере.

Код ошибки 0xc0000001 менеджера загрузки Windows – один из распространенных кодов ошибок «синего экрана смерти» (BSoD), не позволяющих операционной системе нормально загружаться.

What is System Guard Runtime Monitor? (SGRM)

System Guard Runtime Monitor (SGRM) is a component of Windows Defender (WD), that was introduced in the Windows 10 1709 update and has been present since as a key component to ensure system integrity.

Another name for this component is Octagon, which is assumed to be an internal project name for Microsoft, where System Guard Runtime Monitor is used as the public name for marketing Windows Defender. For SGRM to work, a device must have Virtual Secure Mode enabled on their system, as the protection makes use of Virtual Trust Levels to minimize the attack surface on the core attestation Lua engine. Microsoft, in this 2018 blog, describe SGRM as "If important security features should fail, users should be aware. Windows Defender System Guard runtime attestation, a new Windows platform security technology, fills this need". Simply put, SGRM is an anti-tampering mechanism for your modern Windows device.

In this post, I’ll go into the details behind how SGRM works, the Lua component, integrity checks performed, the RPC service, and more from a brief reverse engineering standpoint of this WD component.

Components

We’ll quickly take a look at some of the components of SGRM, to provide some context before going through the details of each individual component.

SgrmAgent.sys

Driver Boot

The agent driver, %WINDIR%\System32\drivers\SgrmAgent.sys, provides kernel-level assists to the SgrmBroker assist engine, which runs in user-mode.

Upon driver boot new secure device is created under \\Device\\MSSGRMAGENTSYS, with a symbolic link pointing to this device under \\??\\MSSGRMAGENTSYS. An Event Tracing (Etw) provider is registered under Microsoft.Windows.Oct.Driver. The provider receives violations for checks the driver implements are sent to throughout the execution.

After this has completed, the driver requests a kernel extension host from ntoskrnl, using the (mostly undocumented) API ExRegisterHost, under PspOctExtensionHost, from PspOctExtensionInterface. The registering of this host provides straight up, direct kernel access to certain functions, almost as if the agent code was running within ntoskrnl itself. A table of extension functions is initialized with a pool tag of 0x2000D:

.data:00000001C00088A8 g_ExtensionFunctions dq 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0; 0
.data:00000001C00088A8                                         ; DATA XREF: OctpInitialize:loc_1C000B25D↓o
.data:00000001C00088A8                                         ; OctpInitialize+26E↓w ...

Initialization

To initialize the driver, an IOCTL 0x9C402480 must be sent to the driver. This then calls the internal function OctpHandleInitRequest.

The driver has several checks in place to ensure the integrity of the user-mode caller:

• The device is bound to the SgrmBroker (OctBroker) service SID upon creation with WdmlibIoCreateDeviceSecure
  • "D:P(A;;GRGWGX;;;S-1-5-80-3706850399-3459138796-2835936764-562029542-397710147)
• Within the dispatch routine, the driver can only be initialized once, resulting only in a single handle at a time effectively being open
• Only Windows TCB signed processes (not to be confused with Thread Control Block) can open a HANDLE (Windows Defender runs as a Protected Process Light (PPL) under the anti-malware context, the trust level would not suffice)

For example, below, if the driver has already been initialized in OctpHandleInitRequest, the driver will write an event to the abovementioned Etw provider and deny access.

// Global g_initialized flag check ≠ 0
if ( _InterlockedCompareExchange(&g_initialized, 1, 0) == 1 )
{
    EtwWriteTransfer(1, g_SgrmDescriptor, {"OctpHandleInitRequest", "SGRM device was already initialized!"}, ...);
}

Agent Mailbox

As previously mentioned, the driver exposes functionality to SgrmBroker. The IOCTL 0x9C402484 is used to dispatch to the specified function within the driver mailbox.

struct _SGRM_MAILBOX_REQ {
    UINT8 u8Index;
    DWORD dwArgNumb;
    [function arguments]
} *PSGRM_MAILBOX_REQ, SGRM_MAILBOX_REQ;

The list of driver assist functions can be observed in the table below.

The specific mailbox value is passed in a struct, to SgrmAgent.sys’s OctpMailboxDispatcher. Below, is an excerpt of the function targets that can be accessed by the user-mode agent for utility:

Along with providing these utilities, the agent provides access to these objects to the broker through the mailbox for runtime inspection via the engine on demand:

• EPROCESS
• ETHREAD
• DRIVER_OBJECT
• TOKEN

SgrmBroker.exe

Service Start

SgrmBroker.exe is one of the user-mode components of the System Guard Runtime Monitor, and runs as a service named OctBroker (or, SgrmBroker). The service is started as a delayed service for performance reasons, and has a trigger to spawn the client API service upon boot. The process runs as a signed Windows Trusted Computing Base (TCB) PPL.

When the service starts, the following is applied to the process, for performance and security:

• Set the current thread priority to THREAD_MODE_BACKGROUND_BEGIN
• Set the PROCESS_INFORMATION_CLASS of the current process to ProcessEnableLogging
• Enable ASLR using ProcessASLRPolicy
• Enable handle checking using ProcessStrictHandleCheckPolicy
• Set the heap to terminate upon corruption using HeapEnableTerminationOnCorruption

The broker then does some core initialization for general functionality, such as setting up an Etw handler. The LAPC component (SgrmLpac.exe) is programmatically spawned within the initialization function, all within the LpacHost.exe class. A job is created for it through CreateJobObjectA, and the handle of the LpacHost.exe process is bound to it. This class provides the functionality to spawn, terminate, and use the HTTP POST RPC endpoint. After the RPC server has spawned, if the process is terminated, LpacHost::LpacTerminatedCallback is called which closes all of the RPC connections. The details of this component are examined in the SgrmLpac section of this blog post.

Once the core initialization has completed, a path to %WINDIR%\System32\Sgrm is constructed. To ensure the integrity of this directory, an event is created DirectoryWatcher class to watch for tampering efforts that may take place to the files in this directory. A thread is then spawned in the background to watch the directory under DirectoryWatcher::StartWatch. If one of the watched files is altered, an Etw write event is triggered. The files in this directory are detailed below:

Then, the RPC client API is initialized as a local service (ncalrpc) within OctagonRpcInitialize.

Initialization

The broker attempts to open a handle to the agent driver — \\\\.\\MSSGRMAGENTSYS. If it is not successful, possibly indicating a malicious handle to the driver, an Etw event is triggered. If this is successful, the initialization IOCTL is sent (0x9C402480) via to the fast I/O control port in the driver. If the driver has already been initialized, as discussed in the previous section, this will fail.

The number of bytes returned from the DeviceIoControl call must be >= 0x11D, if not, a ValidateResponseSize Etw event is triggered. A structure is populated with information from the OctpGetNtosInfo within the driver. The OctpGetNtosInfo queries the SystemModuleInformationEx class by calling ZwQuerySystemInformation to populate the undocumented RTL_PROCESS_MODULE_INFORMATION_EX structure, only certain applicable members are used in the resultant buffer.

// Credit: ProcessHacker
typedef struct _RTL_PROCESS_MODULE_INFORMATION_EX
{
    USHORT NextOffset;
    struct _RTL_PROCESS_MODULE_INFORMATION
    {
        HANDLE Section;
        PVOID MappedBase;
        PVOID ImageBase;
        ULONG ImageSize;
        ULONG Flags;
        USHORT LoadOrderIndex;
        USHORT InitOrderIndex;
        USHORT LoadCount;
        USHORT OffsetToFileName;
        UCHAR FullPathName[256];
    } BaseInfo;
    ULONG ImageChecksum;
    ULONG TimeDateStamp;
    PVOID DefaultBase;
} RTL_PROCESS_MODULE_INFORMATION_EX, *PRTL_PROCESS_MODULE_INFORMATION_EX;

Virtual Secure Mode Enclave Host Controller

The broker has a helper class named EnclaveControllerVsm in which SgrmEnclave_secure.dll resides. SgrmEnclave_secure.dll is the assertion engine, with the Lua engine embedded. Upon initialization, EnclaveControllerVsm checks if the enclave ENCLAVE_TYPE_VBS is supported by the processor. If supported, a enclave is then created, and the assertion engine is loaded into it. The details of the assertion engine can be found in the SgrmEnclave_secure.dll section of this blog post.

The secure enclave is then initialized, and a pointer to EngHostAttest is resolved from the global array of function names (g_engHostFunctionMappings), and called.

The shim DLL (SgrmEnclave.dll) is also initialized within EnclaveControllerShim, EnclaveControllerShim. EngHostAttest is then resolved and called from the same function table. This does not run in an VSM enclave.

Modes Of Operation

VTL-1 is not always avaliable on a machine, for example an older system may not support Virtual Secure Mode or have a TPM chip. Below are the modes in which the enclave can run in when verifying the result of an attestation.

Assists

The broker provides a number of assists which the assertion engine requires, as it is simply a Lua script. The assists are needed for the script to interact with the system to make the assertions based of certain system information. These assists are stored and initialized at runtime, and passed to the assertion engine upon startup. They are stored in a table named g_BrokerAssistCallbackTbl of type BROKER_CALLBACK_TABLE, and use the following format.

struct _BROKER_CALLBACK_TABLE g_BrokerAssistCallbackTbl
?g_BrokerAssistCallbackTbl@@3U_BROKER_CALLBACK_TABLE@@A dq offset ?
dq offset ?Broker_CancelTimer@Assists@@SAPEAXPEAX@Z ; Assists::Broker_CancelTimer(void *)
dq offset ?Broker_CloseHandle@Assists@@SAPEAXPEAX@Z ; Assists::Broker_CloseHandle(void *)
dq offset ?Broker_CreateEvent@Assists@@SAPEAXPEAX@Z ; Assists::Broker_CreateEvent(void *)

Some assists are simply user-mode calls, such as registry reads, and some require using the SgrmAgent.sys driver for extended functionality.

Assists which require the usage of the agent driver are prefixed with Assists::Agent_, an excerpt of these mapped to the internal agent functions are below.

As mentioned, some of the assists that can be done in user-mode, and don’t require use of the driver. These are appended with Assists::Broker_. For example, the assist for a Sleep is as trivial as it sounds:

void Assists::Broker_Sleep(DWORD *dwSleepMs)
{
  Sleep(*dwSleepMs);
  return 0;
}

SgrmEnclave_secure.dll

The engine relies on the broker to load the Lua script from disk, meaning the DLL which is within the Secure Enclave does not perform any file I/O for security reasons — and is instead wrapped through an assist as previously covered. All of the assits within the function are called through a wrapper class, subsequently named AssistWrapper.

The script which is loaded must have a «metadata» header with a specific format. Luckily for our reverse engineering efforts, the source code contains debug strings with the original struct field names. Below is the structure, along with the constraints that must be passed.

typedef struct _LUA_FILE_HEADER {
    BYTE TLVEmpty[6]; // [1, 0, 0, 0, 0]
    UINT16 Version; // header->Version == LUA_FILE_HEADER_FORMAT_VERSION
    UINT32 SVN;
    UINT16 MajorScriptVersion; // header->MajorScriptVersion > MAJOR_SCRIPT_VERSION
    UINT16 MinorScriptVersion; // header->MinorScriptVersion > MINOR_SCRIPT_VERSION
    UINT16 MajorEngineVersion; // header->MajorEngineVersion == MAJOR_ENGINE_VERSION
    UINT16 MinorEngineVersion; // header->MinorEngineVersion == MINOR_ENGINE_VERSION
} *PLUA_FILE_HEADER, LUA_FILE_HEADER;

The size of the Lua script which is loaded is also checked, it must be greater than the size of the structure. If any of these checks fail, a EnforceLuaScriptMetadata Etw event is triggered.

Followed by this header is compiled Lua code.

typedef struct _LUA_FILE {
    LUA_FILE_HEADER lfhMetadata;
    BYTE bCompiled[];
} *LUA_FILE, LUA_FILE;

The Lua engine lives inside the SgrmEnclave_secure.dll DLL and is initialized within the EngInitialize function. A global lock is issued to ensure the engine doesn’t run twice, and a new heap is created for use by the runtime. For unsafe calls inside the engine. e.g. raw function pointers to NATIVE_* functions, a special wrapper function EngpDispatchLuaPcallUnsafe is used.

The state of the memory region used by the Lua runtime within the secure enclave is saved, any calls must pass a MemoryUtil::IsBufferOutsideEngine check — which verifies the memory is within the bounds of MemoryUtil::EngineStart and MemoryUtil::EngineEnd. This utility is used to ensure mapped files, etc, aren’t living outside the enclave region.

Lua Assertions

This is basically the core of SGRM, the assertion engine — where all of the magic is done. All of the assertions are within Lua, and contained within the compiled script which format is described in the previous section. When the script needs to use functionality, the functions are prefixed with NATIVE_*, for example, NATIVE_GetProcessById — which calls into the function within the assist wrapper in SgrmEnclave_secure.dll.

The fully decompiled script can be found in my GitHub repository for this research here. For example, below we can see the reconstructed script reading the MSR C0010015 for AMD processors.

if not msrTable then
    msrTable = {}
    msrTable.CPUVendorId = "AuthenticAMD"
    msrTable.CPUFamily = L14_2
    msrTable.Msr_C0010015 = L18_2
    msrTable = L1_2.rn_b151
    msrTable(L18_2, L19_2, L20_2)
end

There are several global variables initialized within the script, some from assists when bootstrapping, such as GLOBAL_KERNEL_IMAGE_SIZE:

The list of assertions can be read within the script; however this list is incomplete as the decompiled code is hard to read. The following list of drivers are checked to not be loaded, likely the top malicious drivers in their opinion as there are many more on their driver blocklist.

The tampering of critical system processes is also tracked within the Lua script, the following tokens are verified against these processes:

For firmware integrity, the MSRs of these CPU manufacturers are checked:

The integrity of several critical, and also Microsoft anti-malware, system drivers are checked:

By using the DRIVER_OBJECT returned by assist functions, the following routines within the driver are checked. A state at first run is saved, and any changes trigger an assertion failure:

• DriverObject->FastIoDispatch
• DriverObject->MajorFunction
• DriverObject->DriverStartIo
• DriverObject->DriverUnload
• DriverObject->DriverStart
• DriverObject->DriverSize
• DriverObject->DriverName
  • Length and Buffer are both checked in this UNICODE_STRING structure.

The list EPROCESS structures is tracked, along with mitigations, the token, and protection level. I’m not currently sure if this is for all processes or just specific ones, as the decompiled output is very mangled. The following process mitigations are checked:

• AuditDisableDynamicCode
• AuditDisallowWin32kSystemCalls
• AuditNonSystemFontLoading
• AuditFilteredWin32kAPIs
• AuditProhibitLowILImageMap
• AuditBlockNonMicrosoftBinaries
• AuditBlockNonMicrosoftBinariesAllowStore
• AuditLoaderIntegrityContinuity

The following token attributes are checked:

• Token->IntegrityLevelIndex
• Token->UserAndGroups
• Token->Lowbox
• Token->IntegrityLevel
• Token->TokenSource->SourceName
• SID->SubAuthorityCount
• SID->SubAuthority

The token of the current System.exe process is checked and put into a struct within the script — L6_2.SystemToken. The tokens on the system are then enumerated to make sure it’s not been stolen.

SgrmLpac.exe

If the assertion engine detects a violation, the SgrmLapc RPC service is used to send an HTTP POST request to sgrm.microsoft.com/v1.0/Attestation under the user-agent SgrmBroker. A value atp_onboarded is included in the requests, if the registry key SOFTWARE\Microsoft\Windows\CurrentVersion\Sgrm -> Region is present, this value is sent to the server along with details of the system tampering violation. The region is then used to construct the specific SGRM host, e.g. europe.sgrm.microsoft.com, or unitedkingdom.sgrm.microsoft.com.

The RPC endpoint can be called by anyone under the IID a13a9961-953f-4157-8a29-e65e29be510d, and makes use of the common Wininet!Http* family of APIs for the requests. The endpoint has a prototype of (the unknown values don’t matter when being called, they can be anything):

int s_HttpPost(
    __int64 unk_0,
    PWCHAR pswzServerName,
    PWCHAR *pswcObjectName,
    INTERNET_PORT ipInternetPort,
    PWORD lpHeaders,
    PVOID lpOptional,
    DWORD dwOptionalLength,
    _QWORD *unk_1,
    _DWORD *unk_2
);

The RPC call functions end up calling an internal function within the RPC server named appropriately HttpClient::Post. James Forshaw’s WindowsRpcClients here implements this nicely for us.

Conclusion

SGRM is a cool bit of kit, with an interesting architecture. It appears as though the project has gone unmaintaned since 2019, although still running on (just about) all modern devices using Windows Defender. Even though it may be unmaintained, or abandoned, there is still a wealth of potential for checks that could be implemented. The use of Lua allows (or would allow) Microsoft to quickly push new assertions to endpoints, hopefully we can see new updates soon.

Thanks to Alex Ionsecu for his initial research on SGRM, along with helping with queries I had. Along with friends who proof-read this blog (@Myrtus0x00, @herrcore, @smelly__vx, @fwosar, @su_charlie, @hela_luc, @d4n_tweets).

This research was done in personal research time at my own liberty, and does not reflect the opinion of my employer.