WinDivert: что это за драйвер и не вирус ли WinDivert64.sys

Обновлено 2026-08-19

Коротко: WinDivert — легитимная библиотека и драйвер для Windows, которые позволяют программе перехватывать и изменять сетевые пакеты. Сам по себе это инструмент, а не вирус: его используют фаерволы, сетевые утилиты и, главное, программы обхода блокировок — zapret, GoodbyeDPI и другие. Именно поэтому антивирусы часто помечают WinDivert64.sys и WinDivert.dll как HackTool или Riskware. Файлы приходят вместе с такой программой; удалять их отдельно нет смысла — убирать нужно саму программу-источник.

Если вы попали сюда, потому что ищете рабочий доступ, а не разбор процесса — подключиться можно у нас. Orden — свои ноды и клиент с открытым кодом: пробный доступ оформляется на почту за минуту, без карты, без приглашения и без Telegram.

WinDivert замечают не сам по себе, а через панику антивируса: в отчёте защиты всплывает WinDivert64.sys или WinDivert.dll с пометкой об угрозе, хотя вы «ничего такого не ставили». Разберём, что это за файлы, откуда они и стоит ли их бояться.

Что такое WinDivert

WinDivert (Windows Packet Divert) — открытая библиотека пользовательского уровня для перехвата и модификации сетевых пакетов в Windows. Она состоит из библиотеки WinDivert.dll и драйвера WinDivert64.sys (для 64-битных систем). Сама по себе она ничего не «обходит» и не «ломает» — это универсальный инструмент, который даёт программе доступ к сетевому трафику. На нём построены и легитимные фаерволы, и сетевые анализаторы, и утилиты обхода блокировок.

Откуда он взялся и почему ругается антивирус

На обычный компьютер WinDivert приходит внутри другой программы. Чаще всего это инструменты обхода DPI — zapret (его процесс winws.exe) и GoodbyeDPI: чтобы на лету править пакеты, им нужен именно такой драйвер перехвата. Проблема в том, что тем же механизмом может пользоваться и вредоносный софт, поэтому антивирусы помечают WinDivert64.sys эвристикой HackTool/Riskware/PUA. Это срабатывание на класс инструмента, а не обнаружение заражённого файла: оригинальный WinDivert имеет цифровую подпись и распространяется открыто.

Как понять, что это ваш файл

Посмотрите, в какой папке лежат WinDivert.dll и WinDivert64.sys. Нормально, если рядом файлы знакомой вам программы — zapret (winws.exe, bat-скрипты) или GoodbyeDPI. Тревожно, если файлы оказались в Temp, в случайной папке AppData или в системных каталогах Windows, а никакого обходчика блокировок вы не устанавливали. В этом случае прогоните файл через VirusTotal, найдите программу-источник в автозагрузке и службах и удалите её целиком.

Можно ли удалить WinDivert

Удалять один драйвер бессмысленно: если его запускает zapret или GoodbyeDPI, при следующем старте программа поставит его снова. Убирать нужно саму программу-источник, а если служба WinDivert «зависла» в памяти — помогает перезагрузка, она выгружает драйвер. Если WinDivert появился у вас как часть обхода блокировок, но возиться с драйверами и стратегиями надоело, ту же задачу закрывает туннель: Orden работает на VLESS-Reality и Hysteria2 без драйверов перехвата и ручных настроек, конфигурация обновляется сама. Код открыт: github.com/tsyrenov1987/orden-android-client.

Orden — VPN, который сам обновляется и переживает DPI

VLESS-Reality + Hysteria2, автопереключение, банки и Госуслуги работают напрямую. На устройстве, без логов, открытый код.

Открыть Orden →

Частые вопросы

WinDivert64.sys — это вирус?

Нет. Это подписанный драйвер перехвата пакетов, который используют фаерволы и утилиты обхода блокировок (zapret, GoodbyeDPI). Антивирус помечает его из-за класса инструмента. Опасен не сам файл, а неизвестная программа, которая могла его принести, — проверьте источник.

Почему Defender удаляет WinDivert.dll?

Срабатывает эвристика HackTool/Riskware: библиотека даёт доступ к перехвату трафика. Если файл лежит рядом с zapret или GoodbyeDPI, которые вы сами поставили, — это ожидаемо; папку можно добавить в исключения, но только при доверии к источнику.

Я не ставил обход блокировок, откуда WinDivert?

Возможные варианты: его принёс сетевой фаервол или утилита мониторинга, либо программа обхода стоит без вашего ведома, либо под известное имя маскируется чужой софт. Проверьте путь к файлу, автозагрузку и прогоните его через VirusTotal.