Skip to main content

Désactivation de VBS sur Windows 11

Contexte

Sur Windows 11, la Virtualization Based Security (VBS) est activée par défaut. Elle monopolise AMD-V/Intel VT-x et empêche les hyperviseurs tiers (VirtualBox, VMware Workstation) d'accéder à la virtualisation matérielle pour faire du nested virtualization.

Symptômes :

  • VMware Workstation : La fonction hv.capable était 0, mais doit être au minimum 0x1
  • VirtualBox : nested virtualization désactivée malgré la case cochée
  • msinfo32 → Sécurité basée sur la virtualisation : En cours d'exécution

Diagnostic

Vérifier l'état de VBS

# Hyperviseur présent ?
Get-CimInstance Win32_ComputerSystem | Select HypervisorPresent

# État de la virtualisation CPU
Get-CimInstance Win32_Processor | Select Name,VMMonitorModeExtensions,VirtualizationFirmwareEnabled,SecondLevelAddressTranslationExtensions

# Type de lancement hyperviseur
bcdedit /enum "{current}" | findstr /i "hypervisorlaunchtype vsmlaunchtype isolatedcontext"

# État registre DeviceGuard
reg query "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /s

Identifier la cause dans msinfo32

msinfo32

Lignes à surveiller :

  • Sécurité basée sur la virtualisation → doit être Désactivé
  • Stratégie Contrôle des applications pour entreprise → si Appliqué, VBS est forcé
  • Services en cours d'exécution pour la sécurité basée sur la virtualisation → doit être vide

Solution — Désactivation complète de VBS

Étape 1 — Registre DeviceGuard

reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "EnableVirtualizationBasedSecurity" /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "HyperVVirtualizationBasedSecurityOptout" /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "RequirePlatformSecurityFeatures" /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "Locked" /t REG_DWORD /d 0 /f

Étape 2 — Désactiver HVCI (Hypervisor Protected Code Integrity)

reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity" /v "Enabled" /t REG_DWORD /d 0 /f

Étape 3 — Désactiver Credential Guard et LSA

reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\CredentialGuard" /v "Enabled" /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v "LsaCfgFlags" /t REG_DWORD /d 0 /f

Étape 4 — Désactiver KeyGuard (Windows Hello maintient VBS actif)

Point clé : Windows Hello force KeyGuard qui maintient VBS actif même si toutes les autres clés sont désactivées.

reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\WindowsHello" /v "Enabled" /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\KeyGuard" /v "KeyGuardEnabled" /t REG_DWORD /d 0 /f

Étape 5 — Désactiver l'hyperviseur au boot

bcdedit /set hypervisorlaunchtype off
bcdedit /set vsmlaunchtype off

Étape 6 — Redémarrer

shutdown /r /t 0

Vérification finale

# Vérifier que VBS est bien désactivé
reg query "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "EnableVirtualizationBasedSecurity"
bcdedit | findstr "hypervisor"

Dans msinfo32 après redémarrage :

  • Sécurité basée sur la virtualisation → Désactivé
  • Hyper-V - Virtualisation activée dans le microprogramme → Oui
  • Hyper-V - Extensions du mode de moniteur → Oui

Points bloquants courants

Symptôme Cause Solution
VBS reste actif après reboot KeyGuard/Windows Hello Étape 4 ci-dessus
VBS revient après chaque reboot Politique WDAC (driversipolicy.p7b) Vérifier C:\Windows\System32\CodeIntegrity\
hypervisorlaunchtype Off mais hyperviseur actif hvservice démarré par VBS Désactiver KeyGuard et HVCI
Workstation : hv.capable = 0 AMD-V monopolisé par Windows Hypervisor Platform Désactiver VBS complètement

Notes importantes

  • Ne pas supprimer VbsSiPolicy.p7b manuellement — risque de rendre Windows non démarrable
  • Ces modifications réduisent la sécurité du poste — à faire uniquement sur un PC dédié au lab
  • Windows Update peut réactiver VBS — vérifier après chaque mise à jour majeure
Back to top