KB5025885: Πώς μπορείτε να διαχειριστείτε τις ανακλήσεις της Διαχείρισης εκκίνησης των Windows για αλλαγές ασφαλούς εκκίνησης που σχετίζονται με το CVE-2023-24932

Σε αυτό το άρθρο

• Σύνοψη

  • Ανάληψη δράσης

  • Πεδίο εφαρμογής επιπτώσεων

  • Κατανόηση των κινδύνων

  • Γνωστά προβλήματα

• Οδηγίες για αυτήν την έκδοση

• Οδηγίες ανάπτυξης μετριασμού

• Πολυμέσα με δυνατότητα εκκίνησης

• Ενημέρωση μέσου εγκατάστασης των Windows

• Χρονισμός ενημερώσεων

• Σφάλματα αρχείου καταγραφής συμβάντων των Windows που σχετίζονται με το CVE-2023-24932

• Συνήθεις ερωτήσεις (Συνήθεις ερωτήσεις)

• Αντιμετώπιση προβλημάτων εκκίνησης

• Διαδικασία αποκατάστασης

• Αναφορές

• Αλλαγή αρχείου καταγραφής

Σύνοψη

Αυτό το άρθρο περιγράφει την προστασία από την παράκαμψη δυνατοτήτων ασφαλείας Ασφαλούς εκκίνησης που γνωστοποιείται δημόσια και χρησιμοποιεί το bootkit BlackLotus UEFI που παρακολουθείται από το CVE-2023-24932, τον τρόπο ενεργοποίησης των μετριασμάτων και τις οδηγίες για μέσα με δυνατότητα εκκίνησης. Το bootkit είναι ένα κακόβουλο πρόγραμμα που έχει σχεδιαστεί για φόρτωση όσο το δυνατόν νωρίτερα σε μια ακολουθία εκκίνησης συσκευών για τον έλεγχο της εκκίνησης του λειτουργικού συστήματος.

Η Ασφαλής εκκίνηση συνιστάται από τη Microsoft να κάνει μια ασφαλή και αξιόπιστη διαδρομή από την Ενοποιημένη επεκτάσιμη διασύνδεση υλικολογισμικού (UEFI) μέσω της ακολουθίας Αξιόπιστης εκκίνησης πυρήνα των Windows. Η Ασφαλής εκκίνηση βοηθά στην αποτροπή λογισμικού κακόβουλης λειτουργίας bootkit στη σειρά εκκίνησης. Η απενεργοποίηση της Ασφαλούς εκκίνησης θέτει μια συσκευή σε κίνδυνο να μολυνθεί από λογισμικό κακόβουλης λειτουργίας bootkit. Η επιδιόρθωση της παράκαμψης Ασφαλούς εκκίνησης που περιγράφεται στο CVE-2023-24932 απαιτεί την ανάκληση των διαχειριστών εκκίνησης. Αυτό θα μπορούσε να προκαλέσει προβλήματα για ορισμένες ρυθμίσεις παραμέτρων εκκίνησης συσκευών.

Οι μετριασμούς κατά της παράκαμψης Ασφαλούς εκκίνησης που περιγράφονται λεπτομερώς στο CVE-2023-24932 περιλαμβάνονται στις ενημερώσεις ασφαλείας των Windows που κυκλοφόρησαν στις ή μετά τις 9 Απριλίου 2024. Ωστόσο, αυτοί οι μετριασμούς δεν είναι ενεργοποιημένος από προεπιλογή. Με αυτές τις ενημερώσεις, συνιστάται να ξεκινήσετε την αξιολόγηση αυτών των αλλαγών στο περιβάλλον σας. Το πλήρες χρονοδιάγραμμα περιγράφεται στην ενότητα Χρονισμός ενημερώσεων .

Πριν ενεργοποιήσετε αυτούς τους μετριασμούς, θα πρέπει να εξετάσετε διεξοδικά τις λεπτομέρειες σε αυτό το άρθρο και να προσδιορίσετε αν πρέπει να ενεργοποιήσετε τους μετριασμούς ή να περιμένετε μια μελλοντική ενημέρωση από τη Microsoft. Εάν επιλέξετε να ενεργοποιήσετε τους μετριασμούς, πρέπει να επαληθεύσετε ότι οι συσκευές σας είναι ενημερωμένες και έτοιμες, καθώς και να κατανοήσετε τους κινδύνους που περιγράφονται σε αυτό το άρθρο. 

Οδηγίες για αυτήν την έκδοση

Για αυτήν την έκδοση, ακολουθήστε αυτά τα δύο βήματα.

Βήμα 1: Εγκατάσταση της ενημέρωσης

ασφαλείας των Windows Εγκαταστήστε τη μηνιαία ενημέρωση ασφαλείας των Windows που κυκλοφόρησε στις ή μετά τις 9 Απριλίου 2024, σε υποστηριζόμενες συσκευές Windows. Αυτές οι ενημερώσεις περιλαμβάνουν μετριασμούς για το CVE-2023-24932, αλλά δεν είναι ενεργοποιημένα από προεπιλογή. Όλες οι συσκευές Windows θα πρέπει να ολοκληρώσουν αυτό το βήμα είτε σκοπεύετε να αναπτύξετε τους μετριασμούς είτε όχι.

Βήμα 2: Αξιολόγηση των αλλαγών

Σας ενθαρρύνουμε να κάνετε τα εξής:

• Κατανοήστε τους δύο πρώτους μετριασμούς που επιτρέπουν την ενημέρωση του Secure Boot DB και την ενημέρωση του προγράμματος διαχείρισης εκκίνησης.

• Ελέγξτε το ενημερωμένο χρονοδιάγραμμα.

• Ξεκινήστε τη δοκιμή των δύο πρώτων μετριασμάτων σε αντιπροσωπευτικές συσκευές από το περιβάλλον σας.

• Ξεκινήστε τον σχεδιασμό για τη φάση ανάπτυξης στις 9 Ιουλίου 2024.

Βήμα 3: Επιβολή των αλλαγών

Σας ενθαρρύνουμε να κατανοήσετε τους κινδύνους που αναφέρονται στην ενότητα Κατανόηση των κινδύνων.

• Κατανοήστε τις επιπτώσεις στην αποκατάσταση και άλλα μέσα με δυνατότητα εκκίνησης.

• Ξεκινήστε τη δοκιμή του τρίτου μετριασμού που δεν εμπιστεύεται το πιστοποιητικό υπογραφής που χρησιμοποιείται για όλους τους προηγούμενους διαχειριστές εκκίνησης των Windows.

Οδηγίες ανάπτυξης μετριασμού

Πριν ακολουθήσετε αυτά τα βήματα για την εφαρμογή των μετριασμών, εγκαταστήστε τη μηνιαία ενημέρωση συντήρησης των Windows που κυκλοφόρησε στις ή μετά τις 9 Απριλίου 2024 σε υποστηριζόμενες συσκευές Windows. Αυτή η ενημέρωση περιλαμβάνει μετριασμούς για το CVE-2023-24932, αλλά δεν είναι ενεργοποιημένα από προεπιλογή. Όλες οι συσκευές Windows θα πρέπει να ολοκληρώσουν αυτό το βήμα ανεξάρτητα από το σχέδιό σας για την ενεργοποίηση των μετριασμάτων.

Για να αναπτύξετε την ενημέρωση και να εφαρμόσετε τις ανακλήσεις, ακολουθήστε τα παρακάτω βήματα:

1. Εγκαταστήστε τους ενημερωμένους ορισμούς πιστοποιητικών στο DB.

   Αυτό το βήμα θα προσθέσει το πιστοποιητικό "Windows UEFI CA 2023" στη "Βάση δεδομένων υπογραφής ασφαλούς εκκίνησης" (DB) του UEFI. Με την προσθήκη αυτού του πιστοποιητικού στο DB, το υλικολογισμικό της συσκευής θα θεωρεί αξιόπιστες τις εφαρμογές εκκίνησης που είναι υπογεγραμμένες από αυτό το πιστοποιητικό.

   1. Ανοίξτε μια γραμμή εντολών διαχειριστή και ορίστε το κλειδί μητρώου για την εκτέλεση της ενημέρωσης σε DB, πληκτρολογώντας την ακόλουθη εντολή:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      ΣΗΜΑΝΤΙΚΌ Επανεκκινήστε τη συσκευή δύο φορές για να ολοκληρώσετε την εγκατάσταση της ενημέρωσης προτού προχωρήσετε στα βήματα 2 και 3.

   2. Εκτελέστε την ακόλουθη εντολή του PowerShell ως διαχειριστής και βεβαιωθείτε ότι το DB έχει ενημερωθεί με επιτυχία. Αυτή η εντολή θα πρέπει να επιστρέψει την τιμή True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Ενημερώστε τη Διαχείριση εκκίνησης στη συσκευή σας.

   Αυτό το βήμα θα εγκαταστήσει μια εφαρμογή διαχείρισης εκκίνησης στη συσκευή σας, η οποία είναι υπογεγραμμένη με το πιστοποιητικό "Windows UEFI CA 2023".

   1. Ανοίξτε μια γραμμή εντολών διαχειριστή και ορίστε το κλειδί μητρώου για να εγκαταστήσετε τη διαχείριση εκκίνησης με υπογραφή "'Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Επανεκκινήστε τη συσκευή δύο φορές.

   3. Ως διαχειριστής, τοποθετήστε το διαμέρισμα EFI για να το προετοιμάσετε για έλεγχο:

      mountvol s: /s

   4. Επαληθεύστε ότι το αρχείο "s:\efi\microsoft\boot\bootmgfw.efi" είναι υπογεγραμμένο από το πιστοποιητικό "Windows UEFI CA 2023". Για να το κάνετε αυτό, ακολουθήστε αυτά τα βήματα:

      1. Κάντε κλικ στο κουμπί Έναρξη, πληκτρολογήστεγραμμή εντολών στο πλαίσιο Αναζήτηση και, στη συνέχεια, κάντε κλικ στην επιλογή Γραμμή εντολών.

      2. Στο παράθυρο γραμμής εντολών , πληκτρολογήστε την ακόλουθη εντολή και, στη συνέχεια, πατήστε το πλήκτρο Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. Στη Διαχείριση αρχείων, κάντε δεξί κλικ στο αρχείο C:\bootmgfw_2023.efi, κάντε κλικ στην επιλογή Ιδιότητες και, στη συνέχεια, επιλέξτε την καρτέλα Ψηφιακές υπογραφές .

      4. Στη λίστα Υπογραφή, επιβεβαιώστε ότι η αλυσίδα πιστοποιητικών περιλαμβάνει το Windows UEFI CA 2023. Η αλυσίδα πιστοποιητικών θα πρέπει να συμφωνεί με το ακόλουθο στιγμιότυπο οθόνης:
         
         

3. Ενεργοποιήστε την ανάκληση.

   Η Απαγορευμένη λίστα UEFI (DBX) χρησιμοποιείται για τον αποκλεισμό μη αξιόπιστων λειτουργικών μονάδων UEFI από τη φόρτωση. Σε αυτό το βήμα, η ενημέρωση του DBX θα προσθέσει το πιστοποιητικό "Windows Production CA 2011" στο DBX. Αυτό θα έχει ως αποτέλεσμα όλοι οι διαχειριστές εκκίνησης που έχουν υπογραφεί από αυτό το πιστοποιητικό να μην θεωρούνται πλέον αξιόπιστοι.

   ΠΡΟΕΙΔΟΠΟΙΗΣΗ: Πριν από την εφαρμογή της τρίτης λύσης, δημιουργήστε μια μονάδα flash αποκατάστασης που μπορεί να χρησιμοποιηθεί για την εκκίνηση του συστήματος. Για πληροφορίες σχετικά με το πώς να το κάνετε αυτό, ανατρέξτε στην ενότητα Ενημέρωση πολυμέσων εγκατάστασης των Windows.

   Αν το σύστημά σας μεταβεί σε κατάσταση μη εκκίνησης, ακολουθήστε τα βήματα στην ενότητα Διαδικασία αποκατάστασης για να επαναφέρετε τη συσκευή σε κατάσταση προ-ανάκλησης.

   1. Προσθέστε το πιστοποιητικό "Windows Production PCA 2011" στη Λίστα απαγορευμένων δικαιωμάτων Ασφαλούς εκκίνησης UEFI (DBX). Για να το κάνετε αυτό, ανοίξτε ένα παράθυρο γραμμής εντολών ως διαχειριστής, πληκτρολογήστε την ακόλουθη εντολή και, στη συνέχεια, πατήστε το πλήκτρο Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Επανεκκινήστε τη συσκευή δύο φορές και επιβεβαιώστε ότι έχει επανεκκινηθεί πλήρως.

   3. Επαληθεύστε ότι η λίστα εγκατάστασης και ανάκλησης εφαρμόστηκε με επιτυχία αναζητώντας το συμβάν 1037 στο αρχείο καταγραφής συμβάντων.
      
      Για πληροφορίες σχετικά με το Συμβάν 1037, ανατρέξτε στο θέμα KB5016061: Ασφαλής εκκίνηση DB και συμβάντα μεταβλητής ενημέρωσης DBX. Εναλλακτικά, εκτελέστε την ακόλουθη εντολή PowerShell ως Διαχειριστής και βεβαιωθείτε ότι επιστρέφει την τιμή True:

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

Πολυμέσα με δυνατότητα εκκίνησης

Θα είναι σημαντικό να ενημερώσετε τα μέσα με δυνατότητα εκκίνησης μόλις ξεκινήσει η φάση ανάπτυξης στο περιβάλλον σας. Οδηγίες και εργαλεία για την ενημέρωση των πολυμέσων θα παρασχεθούν εγκαίρως για τη φάση ανάπτυξης. Η φάση ανάπτυξης έχει προγραμματιστεί να ξεκινήσει στις 9 Ιουλίου 2024.

Παραδείγματα μέσων με δυνατότητα εκκίνησης και μέσων αποκατάστασης που επηρεάζονται από αυτό το πρόβλημα:

• Μέσο με δυνατότητα εκκίνησης που δημιουργήθηκε με χρήση της δυνατότητας Δημιουργία μονάδας δίσκου αποκατάστασης.

• Αντίγραφα ασφαλείας των Windows τα οποία έχουν εικονιστεί πριν από την εφαρμογή των μετριασμάτων. Δεν θα είναι δυνατή η απευθείας χρήση τους για την επαναφορά της εγκατάστασης των Windows μετά την ενεργοποίηση των ανάκλησης στη συσκευή σας.

• Προσαρμοσμένο CD/DVD ή διαμέρισμα αποκατάστασης που δημιουργήθηκε από εσάς, τον κατασκευαστή της συσκευής σας (OEM) ή τις επιχειρήσεις.

• ISO (μέσω λήψης ή με χρήση του ADK).

• Εκκίνηση δικτύου:

  • Υπηρεσίες ανάπτυξης των Windows.

  • Υπηρεσίες εκκίνησης περιβάλλοντος εκτέλεσης πριν από την εκκίνηση (υπηρεσίες εκκίνησης PXE).

  • Κιτ εργαλείων ανάπτυξης της Microsoft.

  • Εκκίνηση HTTPS.

• Μέσα εγκατάστασης και αποκατάστασης OEM.

• Επίσημα πολυμέσα windows από τη Microsoft, συμπεριλαμβανομένων των εξής:

  • Μέσα λιανικής πώλησης.

  • Εργαλείο δημιουργίας μέσου (μονάδα δίσκου ISO ή USB).

  • VLSC.

  • Στοιχεία λήψης συνδρομητών του Visual Studio.

  • μονάδα USB.

• Windows PE.

• Windows εγκατεστημένα σε φυσικό υλικό ή εικονικές μηχανές.

• Λειτουργικό σύστημα επικύρωσης των Windows.

Αν χρησιμοποιείτε ένα μέσο με δυνατότητα εκκίνησης με μια προσωπική συσκευή Windows, ίσως χρειαστεί να κάνετε ένα ή περισσότερα από τα εξής πριν να εφαρμόσετε ανακλήσεις:

• Αν χρησιμοποιείτε προσωπικό λογισμικό δημιουργίας αντιγράφων ασφαλείας για να αποθηκεύσετε τα περιεχόμενα της συσκευής σας, φροντίστε να εκτελέσετε ένα πλήρες αντίγραφο ασφαλείας μετά την εφαρμογή των μετριασμάτων της 9ης Απριλίου 2024.

• Αν χρησιμοποιείτε ένα είδωλο δίσκου (ISO) με δυνατότητα εκκίνησης, cd-ROM ή μέσο DVD, ενημερώστε το μέσο ακολουθώντας τις οδηγίες που παρέχονται σε μεταγενέστερη ημερομηνία.

Εταιρεία

• Δείτε ολοκληρωμένες οδηγίες και δέσμες ενεργειών για την Ενημέρωση μέσου εγκατάστασης των Windows με το Dynamic Update.

• Αν υποστηρίζετε σενάρια εκκίνησης ή αποκατάστασης δικτύου στο περιβάλλον σας, θα πρέπει να ενημερώσετε όλα τα πολυμέσα και τα είδωλα. Αυτό μπορεί να περιλαμβάνει τις ακόλουθες επιλογές εκκίνησης ή αποκατάστασης:

  • Κιτ εργαλείων ανάπτυξης της Microsoft.

  • Microsoft Endpoint Configuration Manager.

  • Υπηρεσίες ανάπτυξης των Windows.

  • PxE Boot.

  • Σενάρια εκκίνησης HTTPS και άλλα σενάρια εκκίνησης δικτύου.

• Ένας τρόπος για να το κάνετε αυτό είναι να χρησιμοποιήσετε την εγκατάσταση πακέτων χωρίς σύνδεση DISM στις εικόνες που εξυπηρετούνται από αυτά τα σενάρια. Αυτό περιλαμβάνει την ενημέρωση των αρχείων εκκίνησης που προσφέρονται από αυτές τις υπηρεσίες.

• Αν χρησιμοποιείτε λογισμικό δημιουργίας αντιγράφων ασφαλείας για να αποθηκεύσετε τα περιεχόμενα της εγκατάστασης των Windows σε ένα είδωλο αποκατάστασης, φροντίστε να εκτελέσετε ένα πλήρες αντίγραφο ασφαλείας μετά την εφαρμογή των μετριασμάτων της 9ης Απριλίου 2024. Φροντίστε να δημιουργήσετε αντίγραφα ασφαλείας του διαμερίσματος δίσκου EFI εκτός από το διαμέρισμα του λειτουργικού συστήματος Windows. Προσδιορίστε με σαφήνεια τα αντίγραφα ασφαλείας που έγιναν πριν από την εφαρμογή των μετριασμάτων της 9ης Απριλίου 2024 έναντι εκείνων που πραγματοποιήθηκαν μετά την εφαρμογή των μετριασμάτων.

OEM υπολογιστή Windows

• Δείτε ολοκληρωμένες οδηγίες και δέσμες ενεργειών για την Ενημέρωση μέσου εγκατάστασης των Windows με το Dynamic Update.

Ενημέρωση μέσου εγκατάστασης των Windows

Μπορείτε να χρησιμοποιήσετε την εφαρμογή Create Recovery Drive ακολουθώντας αυτά τα βήματα. Αυτό το μέσο μπορεί να χρησιμοποιηθεί για την επανεγκατάσταση μιας συσκευής σε περίπτωση που υπάρχει κάποιο σημαντικό πρόβλημα, όπως μια αποτυχία υλικού, θα μπορείτε να χρησιμοποιήσετε τη μονάδα δίσκου αποκατάστασης για να επανεγκαταστήσετε τα Windows.

1. Μεταβείτε σε μια συσκευή όπου έχουν εφαρμοστεί οι ενημερώσεις της 9ης Απριλίου 2024 και το πρώτο βήμα μετριασμού (ενημέρωση της Ασφαλούς εκκίνησης DB).

2. Από το μενού "Έναρξη", κάντε αναζήτηση για βοηθητική εφαρμογή του πίνακα ελέγχου "Δημιουργία μονάδας δίσκου αποκατάστασης" και ακολουθήστε τις οδηγίες για να δημιουργήσετε μια μονάδα δίσκου αποκατάστασης.

3. Με τη μονάδα flash που μόλις δημιουργήσατε τοποθετημένη (για παράδειγμα, ως μονάδα δίσκου "D:"), εκτελέστε τις ακόλουθες εντολές ως διαχειριστής. Πληκτρολογήστε καθεμία από τις ακόλουθες εντολές και, στη συνέχεια, πατήστε το πλήκτρο Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Αν διαχειρίζεστε μέσα με δυνατότητα εγκατάστασης στο περιβάλλον σας χρησιμοποιώντας το μέσο εγκατάστασης του Update των Windows με οδηγίες για το Dynamic Update , ακολουθήστε τα παρακάτω βήματα. Αυτά τα πρόσθετα βήματα θα δημιουργήσουν μια μονάδα flash με δυνατότητα εκκίνησης που χρησιμοποιεί αρχεία εκκίνησης υπογεγραμμένα από το πιστοποιητικό υπογραφής "Windows UEFI CA 2023".

1. Μεταβείτε σε μια συσκευή όπου έχει εφαρμοστεί η ενημέρωση της 9ης Απριλίου 2024 και το πρώτο βήμα μετριασμού (ενημέρωση της Ασφαλούς εκκίνησης DB).

2. Ακολουθήστε τα βήματα στην παρακάτω σύνδεση για να δημιουργήσετε πολυμέσα με ενημερώσεις της 9ης Απριλίου 2024. Ενημέρωση μέσου εγκατάστασης των Windows με τη Δυναμική ενημέρωση

3. Τοποθετήστε τα περιεχόμενα του μέσου σε μια μονάδα USB και τοποθετήστε τη μονάδα δίσκου ως γράμμα μονάδας δίσκου. Για παράδειγμα, μοντάρισμα της μονάδας δίσκου ως "D:".

4. Εκτελέστε τις ακόλουθες εντολές από ένα παράθυρο εντολών ως διαχειριστής. Πληκτρολογήστε καθεμία από τις ακόλουθες εντολές και, στη συνέχεια, πατήστε το πλήκτρο Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Αν στις προεπιλεγμένες ρυθμίσεις έχει γίνει επαναφορά των ρυθμίσεων Ασφαλούς εκκίνησης σε μια συσκευή μετά την εφαρμογή των μετριασμάτων, η συσκευή δεν θα εκκινείται. Για την επίλυση αυτού του προβλήματος, περιλαμβάνεται μια εφαρμογή επιδιόρθωσης με τις ενημερώσεις της 9ης Απριλίου 2024 που μπορούν να χρησιμοποιηθούν για την εκ νέου εφαρμογή του πιστοποιητικού "Windows UEFI CA 2023" στο DB (μετριασμός #1).

1. Μεταβείτε σε μια συσκευή όπου έχουν εφαρμοστεί οι ενημερώσεις της 9ης Απριλίου 2024.

2. Σε ένα παράθυρο εντολών, αντιγράψτε την εφαρμογή αποκατάστασης στη μονάδα flash χρησιμοποιώντας τις ακόλουθες εντολές (με την προϋπόθεση ότι η μονάδα flash είναι η μονάδα δίσκου "D:"). Πληκτρολογήστε κάθε εντολή ξεχωριστά και, στη συνέχεια, πατήστε το πλήκτρο Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Στη συσκευή στην οποία έχουν γίνει επαναφορά των ρυθμίσεων Ασφαλούς εκκίνησης στις προεπιλογές, εισαγάγετε τη μονάδα flash, επανεκκινήστε τη συσκευή και εκκινήστε τη από τη μονάδα flash.

Χρονισμός ενημερώσεων

Ενημερώσεις κυκλοφορούν ως εξής:

• Αρχική ανάπτυξη Αυτή η φάση ξεκίνησε με ενημερώσεις που κυκλοφόρησαν στις 9 Μαΐου 2023 και παρείχε βασικούς μετριασμούς με μη αυτόματα βήματα για την ενεργοποίηση αυτών των μετριασμών.

• Δεύτερη ανάπτυξη Αυτή η φάση ξεκίνησε με ενημερώσεις που κυκλοφόρησαν στις 11 Ιουλίου 2023, οι οποίες πρόσθεσαν απλοποιημένα βήματα για την ενεργοποίηση των μετριασμών για το πρόβλημα.

• Φάση αξιολόγησης Αυτή η φάση θα ξεκινήσει στις 9 Απριλίου 2024 και θα προσθέσει επιπλέον μετριασμούς διαχείρισης εκκίνησης.

• Φάση τελικής ανάπτυξης Τότε θα ενθαρρύνουμε όλους τους πελάτες να αρχίσουν να αναπτύσσουν τους μετριασμούς και να ενημερώνουν τα μέσα ενημέρωσης.

• Φάση επιβολής Η φάση επιβολής που θα καταστήσει μόνιμους τους μετριασμούς. Η ημερομηνία για αυτή τη φάση θα ανακοινωθεί σε μεταγενέστερη ημερομηνία.

Σημείωση Το χρονοδιάγραμμα κυκλοφορίας μπορεί να αναθεωρηθεί ανάλογα με τις ανάγκες.

Σφάλματα αρχείου καταγραφής συμβάντων των Windows που σχετίζονται με το CVE-2023-24932

Οι καταχωρήσεις του αρχείου καταγραφής συμβάντων των Windows που σχετίζονται με την ενημέρωση των DB και DBX περιγράφονται λεπτομερώς στο KB5016061: Συμβάντα ασφαλούς εκκίνησης DB και μεταβλητής ενημέρωσης DBX.

Τα συμβάντα "επιτυχίας" που σχετίζονται με την εφαρμογή των μετριασμάτων παρατίθενται στον παρακάτω πίνακα.

Συνήθεις ερωτήσεις (Συνήθεις ερωτήσεις)

Αντιμετώπιση προβλημάτων εκκίνησης

Μετά την εφαρμογή και των τριών μετριασμών, το υλικολογισμικό της συσκευής δεν θα εκκινείται χρησιμοποιώντας μια διαχείριση εκκίνησης υπογεγραμμένη από το Windows Production PCA 2011. Οι αποτυχίες εκκίνησης που αναφέρονται από το υλικολογισμικό αφορούν συγκεκριμένες συσκευές. Ανατρέξτε στην ενότητα Διαδικασία αποκατάστασης .

Διαδικασία αποκατάστασης

Αν κάτι δεν πάει καλά κατά την εφαρμογή των μετριασμάτων και δεν μπορείτε να εκκινήσετε τη συσκευή σας ή πρέπει να ξεκινήσετε από εξωτερικά μέσα (όπως μια μονάδα flash ή μια εκκίνηση PXE), δοκιμάστε τις ακόλουθες προτάσεις:

1. Απενεργοποιήστε την Ασφαλή εκκίνηση.
   
   Αυτή η διαδικασία διαφέρει μεταξύ των κατασκευαστών συσκευών και των μοντέλων. Εισαγάγετε το μενού UEFI BIOS των συσκευών σας, μεταβείτε στις ρυθμίσεις Ασφαλούς εκκίνησης και απενεργοποιήστε το. Ελέγξτε την τεκμηρίωση από τον κατασκευαστή της συσκευής σας για λεπτομέρειες σχετικά με αυτήν τη διαδικασία. Μπορείτε να βρείτε περισσότερες λεπτομέρειες στην ενότητα Απενεργοποίηση ασφαλούς εκκίνησης.

2. Επαναφέρετε τα κλειδιά ασφαλούς εκκίνησης στις εργοστασιακές προεπιλογές.

   Αν η συσκευή υποστηρίζει επαναφορά των κλειδιών ασφαλούς εκκίνησης στις εργοστασιακές προεπιλογές, εκτελέστε αυτήν την ενέργεια τώρα.

   ΣΗΜΕΊΩΣΗ Ορισμένοι κατασκευαστές συσκευών έχουν και την επιλογή "Απαλοιφή" και την επιλογή "Επαναφορά" για τις μεταβλητές Ασφαλούς εκκίνησης, οπότε θα πρέπει να χρησιμοποιείται η επιλογή "Επαναφορά". Ο στόχος είναι να επαναφέρετε τις μεταβλητές Ασφαλούς εκκίνησης στις προεπιλεγμένες τιμές των κατασκευαστών.

   Η συσκευή σας θα πρέπει να εκκινείται τώρα, αλλά λάβετε υπόψη ότι είναι ευάλωτη σε λογισμικό κακόβουλης λειτουργίας boot-kit. Φροντίστε να ολοκληρώσετε το βήμα 5 αυτής της διαδικασίας αποκατάστασης για να ενεργοποιήσετε ξανά την Ασφαλή εκκίνηση.

3. Δοκιμάστε να εκκινήσετε τα Windows από το δίσκο συστήματος.

   1. Συνδεθείτε στα Windows.

   2. Εκτελέστε τις ακόλουθες εντολές από μια γραμμή εντολών διαχειριστή για να επαναφέρετε τα αρχεία εκκίνησης στο διαμέρισμα εκκίνησης συστήματος EFI. Πληκτρολογήστε κάθε εντολή ξεχωριστά και, στη συνέχεια, πατήστε το πλήκτρο Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Η εκτέλεση του BCDBoot επιστρέφει "Τα αρχεία εκκίνησης δημιουργήθηκαν με επιτυχία". Αφού εμφανιστεί αυτό το μήνυμα, επανεκκινήστε τη συσκευή ξανά στα Windows.

4. Αν το Βήμα 3 δεν ανακτήσει με επιτυχία τη συσκευή, επανεγκαταστήστε τα Windows.

   1. Εκκινήστε τη συσκευή από το υπάρχον μέσο αποκατάστασης.

   2. Προχωρήστε στην εγκατάσταση των Windows χρησιμοποιώντας το μέσο αποκατάστασης.

   3. Συνδεθείτε στα Windows.

   4. Επανεκκινήστε τα Windows, για να βεβαιωθείτε ότι η συσκευή θα επανεκκινηθεί στα Windows.

5. Ενεργοποιήστε ξανά την Ασφαλή εκκίνηση και επανεκκινήστε τη συσκευή.
   
   Πληκτρολογήστε το μενού UEFI της συσκευής, μεταβείτε στις ρυθμίσεις Ασφαλούς εκκίνησης και ενεργοποιήστε την. Ελέγξτε την τεκμηρίωση από τον κατασκευαστή της συσκευής σας για λεπτομέρειες σχετικά με αυτήν τη διαδικασία. Μπορείτε να βρείτε περισσότερες πληροφορίες στην ενότητα "Επανενεργή ασφαλής εκκίνηση".

Αναφορές

• Οδηγίες για τη διερεύνηση επιθέσεων με χρήση του CVE-2022-21894: Η εκστρατεία του BlackLotus

• Ασφαλής εκκίνηση

• Ενεργοποίηση ασφαλούς εκκίνησης σε εγγεγραμμένες συσκευές Windows

• Για τα συμβάντα που δημιουργούνται κατά την εφαρμογή ενημερώσεων DBX, ανατρέξτε στο θέμα KB5016061: Αντιμετώπιση ευάλωτων και ανακλημένων διαχειριστών εκκίνησης.