KB5025885：如何管理與 CVE-2023-24932 有關之安全開機變更的 Windows 開機管理程式撤銷

本文內容

• 摘要

  • 採取行動

  • 影響範圍

  • 了解風險

  • 已知問題

• 此版本的指導方針

• 風險降低措施部署指導方針

• 可開機媒體

• 更新 Windows 安裝媒體

• 更新時間

• 與 CVE-2023-24932 相關的 Windows 事件記錄檔錯誤

• 常見問題集 (FAQ)

• 疑難排解開機問題

• 復原程序

• 參考

• 變更記錄

摘要

本文說明使用 CVE-2023-24932 追蹤的 BlackLotus UEFI Bootkit 避免公開揭露安全開機安全性功能、如何啟用風險降低措施，和可開機媒體的指導方針。 Bootkit 是惡意程式，旨在裝置開機順序中儘早載入，以控制作業系統啟動。

安全開機為 Microsoft 建議使用，透過 Windows 核心的信任式開機順序，從整合可延伸韌體介面 (UEFI) 建立安全且受信任的路徑。 安全開機有助於防止開機順序出現 Bootkit 惡意程式碼。 停用安全開機會讓裝置面臨感染 Bootkit 惡意程式碼的風險。 修正 CVE-2023-24932 中所述的安全開機旁路需要撤銷開機管理程式。 這可能會導致某些裝置的開機設定發生問題。

CVE-2023-24932 中詳細說明的針對安全開機旁路的風險降低包含在 2024 年 4 月 9 日或之後發佈的 Windows 安全性更新中。 不過，預設不會啟用這些風險降低措施。 透過這些更新，我們建議您開始在您的環境內評估這些變更。 完整的排程請參閱 更新時間 章節。

啟用這些風險降低措施之前，您應徹底檢閱本文中的詳細資料，並判斷您是否必須啟用風險降低措施，或等待 Microsoft 未來的更新。 如果您選擇啟用風險降低措施，您必須確認您的裝置已更新並準備就緒，並了解本文所述的風險。 

此版本的指導方針

針對此版本，請遵循下列兩個步驟。

步驟 1：安裝 Windows 安全性更新

在支援的 Windows 裝置上安裝 2024 年 4 月 9 日或之後發行的 Windows 每月安全性更新。 這些更新包括 CVE-2023-24932 的風險降低措施，但預設不會啟用。 無論您是否打算部署風險降低措施，所有 Windows 裝置都應該完成此步驟。

步驟 2：評估變更

我們鼓勵您執行下列動作：

• 了解前兩種允許更新安全開機 DB 和更新開機管理程式的風險降低措施。

• 檢閱更新的排程。

• 開始針對來自您環境的代表性裝置測試前兩種風險降低措施。

• 開始規劃即將於 2024 年 7 月 9 日推出的部署階段。

步驟 3：強制執行變更

我們鼓勵您了解 認識風險 章節中所述 的風險。

• 了解復原和其他可開機媒體的影響。

• 開始測試第三個不信任所有舊版 Windows 開機管理程式所用之簽署憑證的風險降低措施。

風險降低措施部署指導方針

在執行下列步驟以套用風險降低措施之前，請先在支援的 Windows 裝置上安裝 2024 年 4 月 9 日或之後發行的 Windows 每月維護更新。 此更新包括 CVE-2023-24932 的風險降低措施，但預設不會啟用。 無論您是否計劃啟用風險降低措施，所有 Windows 裝置都應該完成此步驟。

若要部署更新並套用撤銷，請遵循下列步驟：

1. 將更新的憑證定義安裝到資料庫。

   此步驟會將「Windows UEFI CA 2023」憑證新增至 UEFI「安全開機簽章資料庫」(DB)。 透過將此憑證新增至資料庫，裝置韌體將會信任由此憑證簽署的開機應用程式。

   1. 開啟系統管理員命令提示字元，並設定登錄機碼對資料庫執行更新，請輸入下列命令:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      重要　 請務必重新開機裝置兩次以完成更新安裝，然後再繼續進行步驟 2 和步驟 3。

   2. 以系統管理員身分執行下列 PowerShell 命令，並確認資料庫已成功更新。 此命令應該會傳回 True。

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. 更新您裝置上的開機管理程式。

   此步驟會在您的裝置上安裝使用 「Windows UEFI CA 2023」憑證簽署的開機管理程式應用程式。

   1. 開啟系統管理員命令提示字元，並設定註冊機碼以安裝「Windows UEFI CA 2023」簽署的開機管理程式：

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. 重新啟動裝置 兩次。

   3. 以系統管理員身分，掛接 EFI 磁碟分割以準備進行檢查:

      mountvol s: /s

   4. 驗證「s：\efi\microsoft\boot\boot\bootmgfw.efi」檔案已由「Windows UEFI CA 2023」憑證簽署。 若要這樣做，請依照下列步驟操作：

      1. 按一下 [開始]，在 [搜尋] 方塊中輸入 [命令提示]，然後點擊 [命令提示]。

      2. 在「命令提示」視窗中輸入下列命令，並按 Enter：。

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. 在 [檔案管理員] 中，以滑鼠右鍵按一下檔案 C:\bootmgfw_2023.efi，按一下 [屬性]，然後選取 [數位簽名] 索引標籤。

      4. 在 [簽名] 清單中，確認憑證鏈結包含 Windows UEFI 2023 CA。 憑證鏈結應符合下列螢幕快照：
         
         

3. 啟用撤銷。

   UEFI 禁止清單 (DBX) 是用來禁止未受信任的 UEFI 模組載入。 在此步驟中，更新 DBX 會將「Windows Production CA 2011」憑證新增至 DBX。 這會導致所有由此憑證簽署的開機管理程式不再受到信任。

   警告：套用第三種風險降低措施之前，請先建立可用來啟動系統的修復 USB 快閃磁碟機。 如需有關如何進行的詳細資訊，請參閱 更新 Windows 安裝媒體 章節。

   如果您的系統進入無法開機狀態，請遵循 復原程序 章節中的步驟，將裝置重設為撤銷前狀態。

   1. 將「Windows Production PCA 2011」憑證新增至安全開機 UEFI 禁止清單 (DBX)。 若要這麼做，請以系統管理員身分開啟命令提示字元視窗，輸入下列命令，然後按 Enter：

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. 將裝置重新啟動 兩次，並確認裝置已完全重新啟動。

   3. 在事件記錄檔中尋找事件 1037，以確認已成功套用安裝和撤銷清單。
      
      如需事件 1037 的相關資訊，請參閱 KB5016061：安全開機資料庫和 DBX 變數更新事件。 或者，請以系統管理員身分執行下列 PowerShell 命令，並確定命令傳回 True:

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

可開機媒體

一旦部署階段在您的環境中開始，更新可開機媒體非常重要。 將會在部署階段及時提供更新媒體的指導方針和工具。 部署階段預計於 2024 年 7 月 9 日開始。

受此問題影響的可開機媒體和復原媒體範例：

• 使用建立 [建立修復磁碟機] 建立的可開機媒體。

• Windows 備份，在套用風險降低措施之前已進行映射。 這些在您的裝置上啟用撤銷之後，將無法直接用來還原您的 Windows 安裝。

• 您或您的裝置製造商 (OEM)，或企業所建立的自訂 CD/DVD 或修復磁碟分割。

• ISO (透過下載或使用 ADK)。

• 網路開機：

  • Windows 部署服務。

  • 開機前執行環境開機服務 (PXE 開機服務)。

  • Microsoft Deployment Toolkit。

  • HTTPS 開機。

• OEM 安裝與復原媒體。

• Microsoft 官方 Windows 媒體包括：

  • 零售媒體。

  • 媒體建立工具 (ISO 或 USB 磁碟機)。

  • VLSC。

  • Visual Studio 訂閱者下載。

  • USB 磁碟機。

• Windows PE。

• 安裝在實體硬體或虛擬機器上的 Windows。

• Windows 驗證 OS。

如果您將可開機媒體搭配個人 Windows 裝置使用，您可能需要執行下列一或多項動作，才能套用撤銷：

• 如果您使用個人備份軟體來儲存裝置的內容，在套用 2024 年 4 月 9 日的風險降低措施之後，請務必執行完整備份。

• 如果您使用可開機磁碟片映射 (ISO)、CD-ROM 或 DVD 媒體，請遵循後續將提供的指示更新媒體。

Enterprise

• 請參閱 使用動態更新更新 Windows 安裝媒體 的完整指引和指令碼

• 如果您支援環境中的網路開機或復原案例，您將會需要更新所有媒體和影像。 這可能包括下列開機或復原選項：

  • Microsoft Deployment Toolkit。

  • Microsoft Endpoint Configuration Manager。

  • Windows 部署服務。

  • PxE 開機。

  • HTTPS 開機和其他網路開機案例。

• 其中一個方法是在這些案例所送達的影像上使用 DISM 離線套件安裝。 這包括更新這些服務所提供的開機檔案。

• 如果您使用備份軟體將 Windows 安裝的內容儲存到復原映像中，在套用 2024 年 4 月 9 日的風險降低措施之後，請務必執行完整備份。 除了 Windows 作業系統磁碟分割之外，請務必備份 EFI 磁碟分割。 請清楚識別在套用 2024 年 4 月 9 日之前，與套用風險降低措施後所做的備份。

Windows 電腦 OEM

• 請參閱 使用動態更新更新 Windows 安裝媒體 的完整指引和指令碼

更新 Windows 安裝媒體

您可以依照下列步驟使用 [建立修復磁碟機] 應用程式。 此媒體可用來重新安裝裝置，以防發生硬體失敗等重大問題，您可以使用修復磁碟機來重新安裝 Windows。

1. 移至已套用 2024 年 4 月 9 日的更新和第一個風險降低步驟 (更新安全開機資料庫) 的裝置。

2. 從 [開始] 功能表中，搜尋「建立修復磁碟機」控制面板，然後依照指示建立修復磁碟機。

3. 使用新建立的快閃磁碟機安裝 (例如，磁碟機「D：」) 時，以系統管理員身分執行下列命令。 輸入下列每個命令，然後按 Enter：

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

如果您使用以動態更新更新 Windows 安裝媒體指導方針，在您的環境中管理可安裝的媒體，請依照下列步驟進行。 這些額外步驟會建立可開機的 USB 快閃磁碟機，其使用由「Windows UEFI CA 2023」簽署憑證簽署的開機檔案。

1. 移至已套用 2024 年 4 月 9 日更新和第一個風險降低步驟 (更新安全開機資料庫) 的裝置。

2. 請遵循下列連結中的步驟，以使用 2024 年 4 月 9 日的更新來建立媒體。 使用動態更新更新 Windows 安裝媒體https://learn.microsoft.com/windows/deployment/update/media-dynamic-update

3. 將媒體的內容放在 USB 隨身碟上，然後將隨身碟掛接磁碟機代號。 例如，將隨身碟掛接為「D：」。

4. 以系統管理員身分從命令窗口執行下列命令。 輸入下列每個命令，然後按 Enter。

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

如果裝置在套用風險降低措施之後，已將安全開機設定重設為預設值，則裝置不會開機。 若要解決此問題，修復應用程式隨附於 2024 年 4 月 9 日的更新中，可用來將「Windows UEFI CA 2023」憑證重新套用至資料庫 (風險降低 #1)。

1. 移至已套用 2024 年 4 月 9 日更新的裝置。

2. 在命令視窗中，使用下列命令將修復應用程式複製到快閃磁碟機 (假設快閃磁碟機是「D：磁碟機」)。 個別輸入每個命令，然後按 Enter：

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. 在已將安全開機設定重設為預設值的裝置上，插入 USB 快閃磁碟機、重新啟動裝置並從快閃磁碟機開機。

更新時間

更新以下列方式發行:

• 初始部署 此階段從 2023 年 5 月 9 日發行的更新開始，並提供基本緩和措施，以及啟用這些緩和措施的手動步驟。

• 第二階段部署 此階段開始于 2023 年 7 月 11 日發行的更新，其中新增了簡化的步驟，以為此問題啟用緩和措施。

• 評估階段 此階段於 2024 年 4 月 9 日開始，並將新增其他開機管理程式風險降低措施。

• 最終部署階段 此時我們會鼓勵所有客戶開始部署風險降低措施及更新媒體。

• 強制階段 強制階段會讓風險降低措施永久化。 此階段的日期將於稍後宣佈。

注意 可能會視需要修訂發行排程。

與 CVE-2023-24932 相關的 Windows 事件記錄檔錯誤

更新資料庫和 DBX 的相關 Windows 事件記錄項目描述於 KB5016061：安全開機資料庫和 DBX 變數更新事件。

下表列出與套用風險降低措施相關的「成功」事件。

常見問題集 (FAQ)

疑難排解開機問題

套用這三種風險降低措施之後，裝置韌體就不會使用由 Windows Production PCA 2011 簽署的開機管理程式開機。 韌體回報的開機失敗是針對特定裝置。 請參閱 復原程序 章節。

復原程序

如果在套用風險降低措施時發生問題，而您無法啟動裝置或您需要從外部媒體 (例如隨身碟或 PXE 開機) 啟動，請嘗試下列建議：

1. 關閉安全開機。
   
   此程序在裝置製造商和型號之間是不同的。 輸入您的裝置 UEFI BIOS 功能表，然後瀏覽至 [安全開機] 設定並將其關閉。 請查看裝置製造商提供的文件，了解此流程的特定資訊。 您可以在 停用安全開機 中找到更多詳細資料。

2. 將安全開機金鑰重設為原廠預設值。

   如果裝置支援將安全開機金鑰重設為原廠預設值，請立即執行此動作。

   注意事項 有些裝置製造商同時有安全開機變數的「清除」和「重設」選項，在這種情況下，應該使用「重設」。 目標是要讓安全開機變數回到製造商的預設值。

   您的裝置應該會立即啟動，但請注意，它很容易受到開機套件惡意程式碼的攻擊。 請務必在此復原程序結束時完成步驟 5，以重新啟用安全開機。

3. 嘗試從系統磁片啟動 Windows。

   1. 登入 Windows。

   2. 從系統管理員命令提示執行下列命令，以還原 EFI 系統開機磁碟分割中的開機檔案。 個別輸入每個命令，然後按 Enter：

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. 執行 BCDBoot 會傳回「已成功建立開機檔案」。 顯示此訊息之後，將裝置重新啟動回 Windows。

4. 如果步驟 3 無法成功復原裝置，請重新安裝 Windows。

   1. 從現有的復原媒體啟動裝置。

   2. 透過使用復原媒體繼續安裝 Windows。

   3. 登入 Windows。

   4. 重新啟動 Windows 以確認裝置是否重新啟動至 Windows。

5. 重新啟用安全開機並重新啟動裝置。
   
   輸入裝置 UEFI 功能表，然後瀏覽至安全開機設定並將它開啟。 請查看裝置製造商提供的文件，了解此流程的特定資訊。 如需詳細資訊，請參閱「重新啟用安全開機」章節。

參考

• 使用 CVE-2022-21894 調查攻擊的指引：BlackLotus 行銷活動

• 安全開機

• 在已註冊的 Windows 裝置上啟用安全開機

• 對於套用 DBX 更新時產生的事件，請參閱 KB5016061: 解決易受攻擊和撤銷的開機管理程式。