KB5025885: Verwalten der Windows-Start-Manager-Sperrungen für Secure Boot-Änderungen im Zusammenhang mit CVE-2023-24932

Inhalt

• Zusammenfassung

  • Handeln Sie

  • Umfang der Auswirkungen

  • Grundlegendes zu den Risiken

  • Bekannte Probleme

• Richtlinien für dieses Release

• Richtlinien für die Bereitstellung von Risikominderungen

• Startbare Medien

• Aktualisieren der Windows-Installationsmedien

• Zeitplan für die Updates

• Windows-Ereignisprotokollfehler im Zusammenhang mit CVE-2023-24932

• Häufig gestellte Fragen (FAQ)

• Beheben von Startproblemen

• Wiederherstellungsverfahren

• References

• Änderungsprotokoll

Zusammenfassung

In diesem Artikel werden Schutzmaßnahmen gegen die Umgehung einer Sicherheitsfunktion für den sicheren Start mithilfe des UEFI-Bootkits BlackLotus beschrieben, das unter CVE-2023-24932 nachverfolgt wird. Es wird erklärt, wie die Schutzmaßnahmen aktiviert werden können, und es werden Hinweise zur Aktualisierung startbarer Medien gegeben. Ein Bootkit ist ein bösartiges Programm, das so konzipiert ist, dass es so früh wie möglich in der Startsequenz eines Gerätes geladen wird, um den Start des Betriebssystems zu steuern.

sichere Start wird von Microsoft empfohlen, um einen sicheren und vertrauenswürdigen Pfad von der Unified Extensible Firmware Interface (UEFI) über die vertrauenswürdige Startsequenz des Windows-Kernels zu erstellen. Der sichere Start hilft dabei, Bootkit-Schadsoftware in der Startsequenz zu verhindern. Wird der sichere Start deaktiviert, besteht die Gefahr, dass ein Gerät von Bootkit-Schadsoftware infiziert wird. Das Korrigieren der Umgehung des sicheren Starts, die in CVE-2023-24932 beschrieben wird, erfordert das Sperren von Start-Managern. Dies kann zu Problemen bei einigen Gerätestartkonfigurationen führen.

Abhilfemaßnahmen gegen die unter CVE-2023-24932 beschriebene Umgehung des sicheren Starts sind in den Windows-Sicherheitsupdates enthalten, die am oder nach dem 9. Juli 2024 veröffentlicht wurden. Diese Schutzmechanismen sind jedoch nicht standardmäßig aktiviert. Mit diesen Updates wird empfohlen, mit der Auswertung dieser Änderungen in Ihrer Umgebung zu beginnen. Der vollständige Zeitplan wird im Abschnitt Timing von Updates beschrieben.

Bevor Sie diese Risikominderungen aktivieren, sollten Sie die Details in diesem Artikel sorgfältig überprüfen und bestimmen, ob Sie die Risikominderungen aktivieren oder auf ein zukünftiges Update von Microsoft warten müssen. Wenn Sie die Risikominderungen aktivieren, müssen Sie überprüfen, ob Ihre Geräte aktualisiert und bereit sind, und ob Sie die in diesem Artikel beschriebenen Risiken verstehen. 

Richtlinien für dieses Release

Führen Sie für dieses Release die beiden nachfolgend beschriebenen Schritte aus.

Schritt 1: Das Windows-Sicherheitsupdate installieren

Installieren Sie das monatliche Windows-Sicherheitsupdate, das am oder nach dem 9. April 2024 veröffentlicht wurde, auf unterstützten Windows-Geräten. Diese Updates enthalten Risikominderungsmechanismen für CVE-2023-24932, welche jedoch nicht standardmäßig aktiviert sind. Dieser Schritt sollte auf allen Geräten ausgeführt werden, unabhängig davon, ob Sie die Schutzmechanismen bereitstellen möchten oder nicht.

Schritt 2: Die Änderungen evaluieren

Wir empfehlen, Folgendes zu tun:

• Machen Sie sich mit den ersten beiden Risikominderungsmechanismen vertraut, die das Aktualisieren des DB für den sicheren Start und das Aktualisieren des Start-Managers ermöglichen.

• Überprüfen Sie den aktuellen Zeitplan.

• Beginnen Sie mit dem Testen der ersten beiden Risikominderungsmechanismen auf repräsentativen Geräten aus Ihrer Umgebung.

• Beginnen Sie mit der Planung der Bereitstellung.

Schritt 3: Erzwingen der Änderungen

Wir empfehlen, sich mit den im Abschnitt Grundlegendes zu den Risiken genannten Risiken vertraut zu machen.

• Machen Sie sich mit den Auswirkungen auf Wiederherstellungs- und andere startbare Medien vertraut.

• Beginnen Sie mit dem Testen des dritten Risikominderungsmechanismus, der das Signaturzertifikat, das für alle vorherigen Windows-Start-Manager verwendet wurde, nicht mehr als vertrauenswürdig einstuft.

Richtlinien für die Bereitstellung von Risikominderungen

Installieren Sie das monatliche Windows-Wartungsupdate, das am oder nach dem 9. Juli 2024 veröffentlicht wurde, auf unterstützten Windows-Geräten, bevor Sie die folgenden Schritte zur Anwendung der Abhilfemaßnahmen ausführen. Dieses Update enthält Mechanismen zur Risikominderung für CVE-2023-24932, welche jedoch nicht standardmäßig aktiviert sind. Dieser Schritt sollte auf allen Geräten ausgeführt werden, unabhängig davon, ob Sie die Schutzmechanismen aktivieren möchten oder nicht.

Führen Sie die folgenden Schritte aus, um das Update bereitzustellen und die Sperrungen anzuwenden:

1. Installieren Sie die aktualisierten Zertifikatdefinitionen in der Datenbank.

   In diesem Schritt wird das Zertifikat "Windows UEFI CA 2023" zur UEFI-Datenbank "Secure Boot Signature Database" (DB) hinzugefügt. Durch Hinzufügen dieses Zertifikats zur Datenbank vertraut die Gerätefirmware Startanwendungen, die mit diesem Zertifikat signiert wurden.

   1. Öffnen Sie eine Eingabeaufforderung mit Administratorrechten, und legen Sie den Registrierungsschlüssel fest, um die Aktualisierung der Datenbank durchzuführen, indem Sie den folgenden Befehl eingeben:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      WICHTIG Starten Sie das Gerät zweimal neu, um die Installation des Updates abzuschließen, bevor Sie mit den Schritten 2 und 3 fortfahren.

   2. Führen Sie den folgenden PowerShell-Befehl als Administrator aus, und überprüfen Sie, ob die Datenbank erfolgreich aktualisiert wurde. Dieser Befehl sollte True zurückgeben.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Aktualisieren Sie den Start-Manager auf Ihrem Gerät.

   In diesem Schritt wird eine Start-Manager-Anwendung auf Ihrem Gerät installiert, die mit dem Zertifikat "Windows UEFI CA 2023" signiert wurde.

   1. Öffnen Sie eine Eingabeaufforderung mit Administratorrechten, und legen Sie den Registrierungsschlüssel fest, um den “'Windows UEFI CA 2023”-signierten Start-Manager zu installieren:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Starten Sie das Gerät zweimal neu.

   3. Stellen Sie als Administrator die EFI-Partition bereit, um sie für die Überprüfung vorzubereiten:

      mountvol s: /s

   4. Überprüfen Sie, ob die Datei "s:\efi\microsoft\boot\bootmgfw.efi" mit dem Zertifikat "Windows UEFI CA 2023" signiert ist. Gehen Sie hierzu wie folgt vor:

      1. Klicken Sie auf Start, geben Sie Eingabeaufforderung in das Feld Suchen ein, und klicken Sie dann auf Eingabeaufforderung.

      2. Geben Sie im Eingabeaufforderungsfenster den folgenden Befehl ein, und drücken Sie dann die Eingabetaste:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. Klicken Sie im Datei-Manager mit der rechten Maustaste auf die Datei C:\bootmgfw_2023.efi, klicken Sie auf Eigenschaften, und wählen Sie dann die Registerkarte Digitale Signaturen aus.

      4. Überprüfen Sie in der Signaturliste, ob die Zertifikatskette Windows UEFI CA 2023 enthält. Die Zertifikatkette sollte dem folgenden Screenshot entsprechen:
         
         

3. Aktivieren Sie die Sperrung.

   Die UEFI Forbidden List (DBX) wird verwendet, um das Laden nicht vertrauenswürdiger UEFI-Module zu blockieren. In diesem Schritt wird beim Aktualisieren der DBX das Zertifikat "Windows Production CA 2011" zur DBX hinzugefügt. Dies führt dazu, dass alle mit diesem Zertifikat signierten Start-Manager nicht mehr als vertrauenswürdig gelten.

   WARNUNG: Erstellen Sie vor dem Anwenden des dritten Risikominderungsmechanismus einen Wiederherstellungs-USB-Speicherstick, der zum Starten des Systems verwendet werden kann. Informationen dazu finden Sie im Abschnitt Aktualisieren von Windows-Installationsmedien.

   Sollte Ihr System anschließend nicht mehr gestartet werden können, führen Sie die Schritte im Abschnitt "Wiederherstellungsverfahren" aus, um das Gerät auf einen Zustand vor der Sperrung zurückzusetzen.

   1. Fügen Sie das Zertifikat "Windows Production PCA 2011" der UEFI Forbidden List (DBX) für den sicheren Start hinzu. Öffnen Sie dazu ein Eingabeaufforderungsfenster als Administrator, geben Sie den folgenden Befehl ein, und drücken Sie dann die Eingabetaste:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Starten Sie das Gerät zweimal neu, und vergewissern Sie sich, dass es vollständig neu gestartet wurde.

   3. Überprüfen Sie, ob die Installation und die Sperrliste erfolgreich angewendet wurden, indem Sie im Ereignisprotokoll nach dem Ereignis 1037 suchen.
      
      Informationen zum Ereignis 1037 finden Sie unter KB5016061: Ereignisse beim Aktualisieren von DB- und DBX-Variablen für den sicheren Start. Führen Sie hierzu den folgenden PowerShell-Befehl als Administrator aus, und vergewissern Sie sich, dass er "True" zurückgibt:

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match „Microsoft Windows Production PCA 2011“ 

4. Wenden Sie das SVN-Update auf die Firmware an.
   
   Der in Schritt 2 bereitgestellte Startmanager verfügt über eine neue integrierte Funktion zur Selbstsperrung. Wenn der Startmanager ausgeführt wird, führt er eine Selbstprüfung durch, indem er die in der Firmware gespeicherte sichere Versionsnummer (Secure Version Number, SVN) mit der im Startmanager integrierten SVN vergleicht. Wenn die SVN des Startmanagers niedriger ist als die in der Firmware gespeicherte SVN, wird die Ausführung des Startmanagers verweigert. Diese Funktion verhindert, dass ein Angreifer den Startmanager auf eine ältere, nicht aktualisierte Version zurücksetzen kann.
   
   In zukünftigen Updates, wenn ein bedeutendes Sicherheitsproblem im Startmanager behoben wird, wird die SVN-Nummer sowohl im Startmanager als auch im Update der Firmware erhöht. Beide Updates werden im selben kumulativen Update veröffentlicht, um sicherzustellen, dass gepatchte Geräte geschützt sind. Jedes Mal, wenn der SVN aktualisiert wird, müssen alle startbaren Medien aktualisiert werden.
   ​​​​​​​
   Ab den Updates vom 9. Juli 2024 wird die SVN im Startmanager und im Firmwareupdate erhöht. Das Firmwareupdate ist optional und kann mithilfe der folgenden Schritte durchgeführt werden:

   1. Öffnen Sie eine Administrator-Eingabeaufforderung, und führen Sie den folgenden Befehl aus, um den signierten Startmanager „Windows UEFI CA 2023“ zu installieren:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. Starten Sie das Gerät zweimal neu.

Startbare Medien

Es ist wichtig, startbare Medien zu aktualisieren, sobald die Bereitstellungsphase in Ihrer Umgebung beginnt.

Eine Anleitung zum Aktualisieren von startfähigen Medien wird in zukünftigen Updates zu diesem Artikel erscheinen. Informationen zum Erstellen eines USB-Sticks zur Wiederherstellung eines Geräts finden Sie im nächsten Abschnitt.

Aktualisieren der Windows-Installationsmedien

Sie können die Anwendung Wiederherstellungslaufwerk erstellen verwenden, indem Sie die nachfolgend beschriebenen Schritte ausführen. Dieses Medium kann zur Neuinstallation eines Geräts verwendet werden, falls ein größeres Problem auftritt, z.B. ein Hardwaredefekt. Sie können das Wiederherstellungslaufwerk verwenden, um Windows neu zu installieren.

1. Wechseln Sie zu einem Gerät, auf dem die Updates vom 9. Juli 2024 und der erste Schritt zur Entschärfung (Aktualisieren der Datenbank für den sicheren Start) angewendet wurden.

2. Suchen Sie im Menü Start nach dem Systemsteuerungs-Applet „Wiederherstellungslaufwerk erstellen“ und folgen Sie den Anweisungen zum Erstellen eines Wiederherstellungslaufwerks.

3. Wenn das neu erstellte Flash-Laufwerk eingebunden ist (z. B. als Laufwerk "D:"), führen Sie die folgenden Befehle als Administrator aus. Geben Sie jeden der folgenden Befehle ein, und drücken Sie dann die EINGABETASTE:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Wenn Sie installierbare Medien in Ihrer Umgebung mithilfe der Anleitung für Windows-Installationsmedien mit dynamischem Update aktualisieren verwalten, führen Sie die folgenden Schritte aus. Mit diesen zusätzlichen Schritten wird ein startbarer USB-Speicherstick erstellt, der Startdateien verwendet, die mit dem Signaturzertifikat "Windows UEFI CA 2023" signiert sind.

1. Wechseln Sie zu einem Gerät, auf dem die Updates vom 9. Juli 2024 und der erste Schritt zur Abhilfe (Aktualisierung der Datenbank für den sicheren Start) angewendet wurden.

2. Folgen Sie den Schritten unter dem unten stehenden Link, um Medien mit den Updates vom 9. Juli 2024 zu erstellen. Aktualisieren von Windows-Installationsmedien mit dynamischem Update

3. Platzieren Sie den Inhalt des Mediums auf einem USB-Stick, und binden Sie das Laufwerk als Laufwerkbuchstaben ein. Binden Sie es z. B. als Laufwerk "D:" ein.

4. Führen Sie die folgenden Befehle in einem Befehlsfenster als Administrator aus. Geben Sie jeden der folgenden Befehle ein, und drücken Sie dann die EINGABETASTE.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Wenn die Einstellungen für den sicheren Start auf einem Gerät nach dem Anwenden der Risikominderungsmechanismen auf die Standardwerte zurückgesetzt werden, wird das Gerät nicht gestartet. Um dieses Problem zu beheben, ist in den Updates vom 9. Juli 2024 eine Reparaturanwendung enthalten, mit der das Zertifikat „Windows UEFI CA 2023“ erneut auf die Datenbank angewendet werden kann (Abhilfemaßnahme Nr. 1).

1. Wechseln Sie zu einem Gerät, auf dem die Updates vom 9. April 2024 angewendet wurden.

2. Kopieren Sie in einem Befehlsfenster die Wiederherstellungs-App mit den folgenden Befehlen auf den USB-Speicherstick (davon ausgehend, dass es sich um das Laufwerk "D:" handelt). Geben Sie jeden Befehl separat ein, und drücken Sie dann die Eingabetaste:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Schließen Sie den Speicherstick an das Gerät an, auf dem die Einstellungen für den sicheren Start auf die Standardwerte zurückgesetzt wurden, starten Sie das Gerät neu, und booten Sie vom Speicherstick aus.

Zeitplan für die Updates

Updates werden wie folgt veröffentlicht:

• Erstbereitstellung Diese Phase begann mit Updates, die am 9. Mai 2023 veröffentlicht wurden, und bot grundlegende Risikominderungen mit manuellen Schritten, um diese Risikominderungen zu ermöglichen.

• Zweite Bereitstellungsphase Diese Phase begann mit Updates, die am 11. Juli 2023 veröffentlicht wurden und vereinfachte Schritte zum Aktivieren der Risikominderungen für das Problem hinzugefügt haben.

• Auswertungsphase In dieser Phase, die am 9. April 2024 beginnt, werden zusätzliche Risikominderungsmechanismen für den Start-Manager hinzugefügt.

• Bereitstellungsphase Dies ist der Zeitpunkt, an dem wir allen Kunden empfehlen werden, mit der Bereitstellung der Mechanismen zur Risikominderung und dem Aktualisieren von Medien zu beginnen.

• Erzwingungsphase In der Erzwingungsphase werden die Risikominderungsmechanismen dauerhaft implementiert. Der Termin für diese Phase wird zu einem späteren Zeitpunkt bekannt gegeben.

Hinweis Der Releasezeitplan kann bei Bedarf überarbeitet werden.

Windows-Ereignisprotokollfehler im Zusammenhang mit CVE-2023-24932

Die Einträge im Windows-Ereignisprotokoll im Zusammenhang mit der Aktualisierung der Datenbank und DBX werden in KB5016061: Ereignisse zum Aktualisieren von Datenbank- und DBX-Variablen für den sicheren Start ausführlich beschrieben.

Die “Erfolgsereignisse” im Zusammenhang mit der Anwendung der Risikominderungen sind in der folgenden Tabelle aufgeführt.

Häufig gestellte Fragen (FAQ)

Beheben von Startproblemen

Nachdem alle drei Risikominderungen angewendet wurden, wird die Gerätefirmware nicht mithilfe eines von Windows Production PCA 2011-signierten Start-Managers gestartet. Die von der Firmware gemeldeten Startfehler sind gerätespezifisch. Weitere Informationen finden Sie im Abschnitt Wiederherstellungsprozedur.

Wiederherstellungsverfahren

Wenn beim Anwenden der Risikominderungen ein Fehler auftritt und Sie Ihr Gerät nicht starten können oder von externen Medien (z. B. einem USB-Laufwerk oder PXE-Start) starten müssen, versuchen Sie es mit den folgenden Vorschlägen:

1. Deaktivieren Sie den sicheren Start.
   
   Diese Prozedur unterscheidet sich zwischen Geräteherstellern und -modellen. Rufen Sie das UEFI-BIOS-Menü Ihres Geräts auf, navigieren Sie zu den Einstellungen für den sicheren Start, und schalten Sie diese aus. Einzelheiten zu diesem Vorgang finden Sie in der Dokumentation Ihres Geräteherstellers. Weitere Informationen finden Sie unter Deaktivieren des sicheren Starts.

2. Setzen Sie die Schlüssel für den sicheren Start auf die Werkseinstellungen zurück.

   Wenn das Gerät das Zurücksetzen der Schlüssel für den sicheren Start auf die Werkseinstellungen unterstützt, führen Sie diese Aktion jetzt durch.

   HINWEIS: Einige Gerätehersteller haben sowohl eine "Löschen"- als auch eine "Zurücksetzen"-Option für die Variablen des sicheren Starts. In diesem Fall sollte "Zurücksetzen" verwendet werden. Ziel ist es, die Variablen für den sicheren Start wieder auf die Standardwerte des Herstellers zurückzustellen.

   Ihr Gerät sollte jetzt starten, aber beachten Sie, dass es anfällig für Bootkit-Malware ist. Stellen Sie sicher, dass Sie Schritt 5 dieses Wiederherstellungsprozesses abschließen, um den sicheren Start erneut zu aktivieren.

3. Versuchen Sie, Windows vom Systemdatenträger aus zu starten.

   1. Melden Sie sich bei Windows an.

   2. Führen Sie die folgenden Befehle an der Administratoreingabeaufforderung aus, um die Startdateien in der EFI-Systemstartpartition wiederherzustellen. Geben Sie jeden Befehl separat ein, und drücken Sie dann die Eingabetaste:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Beim Ausführen von BCDBoot wird "Startdateien erfolgreich erstellt" zurückgegeben. Nachdem diese Meldung angezeigt wurde, starten Sie das Gerät wieder zu Windows.

4. Wenn Schritt 3 das Gerät nicht erfolgreich wiederherstellen kann, installieren Sie Windows erneut.

   1. Starten Sie das Gerät über vorhandene Wiederherstellungsmedien.

   2. Fahren Sie mit der Installation von Windows mithilfe des Wiederherstellungsmediums fort.

   3. Melden Sie sich bei Windows an.

   4. Starten Sie Windows neu, um zu überprüfen, ob das Gerät wieder auf Windows gestartet wird.

5. Aktivieren Sie den sicheren Start erneut, und starten Sie das Gerät neu.
   
   Geben Sie das UEFI-Menü des Geräts ein, navigieren Sie zu den Einstellungen für den sicheren Start, und aktivieren Sie es. Einzelheiten zu diesem Vorgang finden Sie in der Dokumentation Ihres Geräteherstellers. Weitere Informationen finden Sie im Abschnitt "Sicheren Start wieder aktivieren".

References

• Anleitung zur Untersuchung von Angriffen mit CVE-2022-21894: Die BlackLotus-Kampagne

• Sicherer Start

• Aktivieren des sicheren Starts auf registrierten Windows-Geräten

• Informationen zu Ereignissen, die beim Anwenden von DBX-Updates generiert werden, finden Sie unter KB5016061: Beheben von anfälligen und gesperrten Start-Managern.