Skip to main content

Désactivation de VBS sur Windows 11

Désactivation de VBS sur Windows 11 pour la virtualisation imbriquée

Contexte

Sur Windows 11, la Virtualization Based Security (VBS) est activée par défaut. Elle monopolise AMD-V/Intel VT-x et empêche les hyperviseurs tiers (VirtualBox, VMware Workstation) d'accéder à la virtualisation matérielle pour faire du nested virtualization.

Symptômes :

  • VMware Workstation : La fonction hv.capable était 0, mais doit être au minimum 0x1
  • VirtualBox : nested virtualization désactivée malgré la case cochée
  • msinfo32 → Sécurité basée sur la virtualisation : En cours d'exécution

Diagnostic

Vérifier l'état de VBS

# Hyperviseur présent ?
Get-CimInstance Win32_ComputerSystem | Select HypervisorPresent

# État de la virtualisation CPU
Get-CimInstance Win32_Processor | Select Name,VMMonitorModeExtensions,VirtualizationFirmwareEnabled,SecondLevelAddressTranslationExtensions

# Type de lancement hyperviseur
bcdedit /enum "{current}" | findstr /i "hypervisorlaunchtype vsmlaunchtype isolatedcontext"

# État registre DeviceGuard
reg query "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /s

Identifier la cause dans msinfo32

msinfo32

Lignes à surveiller :

  • Sécurité basée sur la virtualisation → doit être Désactivé
  • Stratégie Contrôle des applications pour entreprise → si Appliqué, VBS est forcé
  • Services en cours d'exécution pour la sécurité basée sur la virtualisation → doit être vide

Solution — Désactivation complète de VBS

Étape 1 — Registre DeviceGuard

reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "EnableVirtualizationBasedSecurity" /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "HyperVVirtualizationBasedSecurityOptout" /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "RequirePlatformSecurityFeatures" /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "Locked" /t REG_DWORD /d 0 /f

Étape 2 — Désactiver HVCI (Hypervisor Protected Code Integrity)

reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity" /v "Enabled" /t REG_DWORD /d 0 /f

Étape 3 — Désactiver Credential Guard et LSA

reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\CredentialGuard" /v "Enabled" /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v "LsaCfgFlags" /t REG_DWORD /d 0 /f

Étape 4 — Désactiver KeyGuard (Windows Hello maintient VBS actif)

Point clé : Windows Hello force KeyGuard qui maintient VBS actif même si toutes les autres clés sont désactivées.

reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\WindowsHello" /v "Enabled" /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\KeyGuard" /v "KeyGuardEnabled" /t REG_DWORD /d 0 /f

Étape 5 — Désactiver l'hyperviseur au boot

bcdedit /set hypervisorlaunchtype off
bcdedit /set vsmlaunchtype off

Étape 6 — Redémarrer

shutdown /r /t 0

Vérification finale

# Vérifier que VBS est bien désactivé
reg query "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "EnableVirtualizationBasedSecurity"
bcdedit | findstr "hypervisor"

Dans msinfo32 après redémarrage :

  • Sécurité basée sur la virtualisation → Désactivé
  • Hyper-V - Virtualisation activée dans le microprogramme → Oui
  • Hyper-V - Extensions du mode de moniteur → Oui

Points bloquants courants

Symptôme Cause Solution
VBS reste actif après reboot KeyGuard/Windows Hello Étape 4 ci-dessus
VBS revient après chaque reboot Politique WDAC (driversipolicy.p7b) Vérifier C:\Windows\System32\CodeIntegrity\
hypervisorlaunchtype Off mais hyperviseur actif hvservice démarré par VBS Désactiver KeyGuard et HVCI
Workstation : hv.capable = 0 AMD-V monopolisé par Windows Hypervisor Platform Désactiver VBS complètement

Notes importantes

  • Ne pas supprimer VbsSiPolicy.p7b manuellement — risque de rendre Windows non démarrable
  • Ces modifications réduisent la sécurité du poste — à faire uniquement sur un PC dédié au lab
  • Windows Update peut réactiver VBS — vérifier après chaque mise à jour majeure
Back to top