KB5025885: Cómo administrar las revocaciones de la Administración de arranque de Windows para cambios en el arranque seguro asociados con CVE-2023-24932

En este artículo

• Resumen

  • Tomar medidas

  • Alcance del impacto

  • Descripción de riesgos

  • Problemas conocidos

• Directrices para esta versión

• Directrices de implementación de mitigación

• Medios de arranque

• Actualización de medios de instalación de Windows

• Cronograma de las actualizaciones

• Errores del registro de eventos de Windows relacionados con CVE-2023-24932

• Preguntas más frecuentes (P+F)

• Solución de problemas de arranque

• Procedimiento de recuperación

• Referencias

• Registro de cambios

Resumen

En este artículo, se describe la protección frente a la omisión malintencionada divulgada públicamente de la característica de seguridad de Arranque seguro que usa el bootkit UEFI BlackLotus, cuyo seguimiento fue realizado por CVE-2023-24932. Además, se describe cómo habilitar las mitigaciones e instrucciones para actualizar los medios de arranque. Un bootkit es un programa malintencionado diseñado para cargarse lo antes posible durante la secuencia de arranque de un dispositivo, con el fin de controlar el inicio del sistema operativo.

arranque seguro para crear una ruta de acceso segura y de confianza desde Unified Extensible Firmware Interface (UEFI) a través de la secuencia de arranque seguro del kernel de Windows. El arranque seguro ayuda a evitar el malware bootkit en la secuencia de arranque. Al deshabilitar el arranque seguro, un dispositivo corre el riesgo de infectarse por parte de un malware de bootkit. La corrección de la omisión del arranque seguro descrita en CVE-2023-24932 requiere revocar los administradores de arranque. Esto podría causar problemas en algunas configuraciones de arranque del dispositivo.

Las mitigaciones contra la omisión del arranque seguro que se detalla en CVE-2023-24932 se incluyen en los paquetes de actualización de seguridad de Windows que se publicaron a partir del 9 de abril de 2024. Sin embargo, estas mitigaciones no están habilitadas de manera predeterminada. Con estas actualizaciones, se recomienda empezar a evaluar estos cambios dentro de su entorno. La programación completa se describe en la sección Cronograma de las actualizaciones.

Antes de habilitar estas mitigaciones, debe revisar exhaustivamente los detalles de este artículo y determinar si tiene que habilitar las mitigaciones o esperar una actualización futura de Microsoft. Si decide habilitar las mitigaciones, debe comprobar que los dispositivos estén actualizados y listos, y comprender los riesgos descritos en este artículo. 

Directrices para esta versión

Para esta versión, siga estos dos pasos.

Paso 1: Instalar el paquete de actualización de seguridad de Windows

Instale el paquete de actualización de seguridad mensual de Windows publicado a partir del 9 de abril de 2024 en dispositivos Windows compatibles. Estas actualizaciones incluyen mitigaciones para CVE-2023-24932, pero no están habilitadas de manera predeterminada. Todos los dispositivos Windows deben completar este paso tanto si planea implementar las mitigaciones como si no.

Paso 2: Evaluar los cambios

Le recomendamos que haga lo siguiente:

• Comprenda las dos primeras mitigaciones que permiten actualizar la DB de arranque seguro y actualizar el administrador de arranque.

• Revise la programación actualizada.

• Comience a probar las dos primeras mitigaciones en dispositivos representativos de su entorno.

• Comience a planear la fase de implementación a partir del 9 de julio de 2024.

Paso 3: Aplicar los cambios

Le recomendamos que comprenda los riesgos indicados en la sección Descripción de riesgos.

• Comprenda cómo impactan la recuperación y otros medios de arranque.

• Comience a probar la tercera mitigación, que no confía en el certificado de firma usado para todos los administradores de arranque de Windows anteriores.

Directrices de implementación de mitigación

Antes de seguir estos pasos para aplicar las mitigaciones, instale la actualización de mantenimiento mensual de Windows publicada a partir del 9 de abril de 2024 en dispositivos Windows compatibles. Esta actualización incluye mitigaciones para CVE-2023-24932, pero no están habilitadas de forma predeterminada. Todos los dispositivos Windows deben completar este paso independientemente del plan para habilitar las mitigaciones.

Para implementar la actualización y aplicar las revocaciones, siga estos pasos:

1. Instale las definiciones de certificado actualizadas en la base de datos.

   En este paso, se agregará el certificado "Windows UEFI CA 2023" a "Base de datos con firma de arranque seguro" (DB) de UEFI. Al agregar este certificado a la base de datos, el firmware del dispositivo confiará en las aplicaciones de arranque firmadas por este certificado.

   1. Abra un símbolo del sistema de administrador y establezca la clave de registro para realizar la actualización a la base de datos escribiendo el siguiente comando:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      IMPORTANTE Asegúrese de reiniciar el dispositivo dos veces para completar la instalación de la actualización antes de continuar con los pasos 2 y 3.

   2. Ejecute el siguiente comando de PowerShell como administrador y compruebe que la base de datos se ha actualizado correctamente. Este comando debe devolver True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Actualice el Administrador de arranque en el dispositivo.

   En este paso, se instalará una aplicación de administrador de arranque en el dispositivo que está firmada con el certificado "Windows UEFI CA 2023".

   1. Abra un símbolo del sistema de administrador y establezca la clave de registro para instalar el administrador de arranque firmado "Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Reinicie el dispositivo dos veces.

   3. Como administrador, monte la partición EFI para prepararla para la inspección:

      mountvol s: /s

   4. Valide que el archivo "s:\efi\microsoft\boot\bootmgfw.efi" esté firmado por el certificado "Windows UEFI CA 2023". Para ello, siga estos pasos:

      1. Haga clic en Inicio, escriba Símbolo del sistema en el cuadro Buscar y, a continuación, haga clic en Símbolo del sistema.

      2. En la ventana del símbolo del sistema, escriba el comando siguiente y presione Entrar.

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. En el Administrador de archivos, haga clic con el botón derecho en el archivo C:\bootmgfw_2023.efi, haga clic en Propiedades y seleccione la pestaña Firmas digitales.

      4. En la Lista de firmas, confirme que la cadena de certificados incluye Windows UEFI CA 2023. La cadena de certificados debe coincidir con la captura de pantalla siguiente:
         
         

3. Habilite la revocación.

   La lista prohibida de UEFI (DBX) se usa para bloquear la carga de módulos UEFI que no sean de confianza. En este paso, al actualizar DBX, se agregará el certificado "Windows Production CA 2011" a la DBX. Esto hará que todos los administradores de arranque firmados por este certificado dejen de ser de confianza.

   ADVERTENCIA: Antes de aplicar la tercera mitigación, cree una unidad flash USB de recuperación que se pueda usar para arrancar el sistema. Para obtener información sobre cómo hacerlo, consulte la sección Actualizar medios de instalación de Windows.

   Si el sistema entra en un estado no de arranque, siga los pasos de la sección Procedimiento de recuperación para restablecer el dispositivo a un estado de revocación previa.

   1. Agregue el certificado "Windows Production PCA 2011" a la lista prohibida de UEFI (DBX) de arranque seguro. Para hacerlo, abra una ventana de símbolo de sistema como administrador, escriba el comando siguiente y luego pulse Entrar:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Reinicie el dispositivo dos veces y confirme que se ha reiniciado completamente.

   3. Compruebe que la instalación y la lista de revocación se aplicaron correctamente buscando el evento 1037 en el registro de eventos.
      
      Para más información sobre el evento 1037, consulte KB5016061: Eventos de actualización de variables DB y DBX de arranque seguro. O bien, ejecute el siguiente comando de PowerShell como administrador y asegúrese de que devuelve True:

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

Medios de arranque

Será importante actualizar los medios de arranque una vez que comience la fase de implementación en su entorno. Se proporcionarán instrucciones y herramientas para actualizar los medios a tiempo para la fase de implementación. La fase de implementación está programada para comenzar el 9 de julio de 2024.

Ejemplos de medios de arranque y medios de recuperación afectados por este problema:

• Medio de arranque creado mediante Crear una unidad de recuperación.

• Copias de seguridad de Windows que se han creado antes de aplicar las mitigaciones. Estos no se podrán usar directamente para restaurar la instalación de Windows después de que se hayan habilitado las revocaciones en el dispositivo.

• CD o DVD personalizado o partición de recuperación creada por usted, el fabricante de equipo original (OEM) o las empresas.

• ISO (mediante descarga o mediante el ADK).

• Arranque de red:

  • Servicios de implementación de Windows.

  • Servicios de arranque del entorno de ejecución previo al arranque (servicios de arranque PXE).

  • Microsoft Deployment Toolkit.

  • Arranque HTTPS.

• Medios de instalación y recuperación de OEM.

• Medios oficiales de Windows de Microsoft que incluyen:

  • Medios de venta directa.

  • Herramienta de creación de medios (unidad ISO o flash USB).

  • VLSC.

  • Descargas de suscriptores de Visual Studio.

  • Unidad flash USB.

• Windows PE.

• Windows instalado en hardware físico o máquinas virtuales.

• Sistema operativo de validación de Windows.

Si usas medios de arranque con un dispositivo Windows personal, es posible que tengas que realizar una o varias de las siguientes acciones antes de aplicar revocaciones:

• Si usa software de copia de seguridad personal para guardar el contenido del dispositivo, asegúrese de ejecutar una copia de seguridad completa después de aplicar las mitigaciones del 9 de abril de 2024.

• Si usa una imagen de disco de arranque (ISO), un CD-ROM o un medio de DVD, siga las instrucciones que se proporcionarán más adelante para actualizar los medios.

Enterprise

• Consulte las instrucciones completas y scripting para Actualizar los medios de instalación de Windows con la actualización dinámica.

• Si admite escenarios de recuperación o arranque de red en su entorno, deberá actualizar todos los medios e imágenes. Esto puede incluir las siguientes opciones de arranque o recuperación:

  • Microsoft Deployment Toolkit.

  • Microsoft Endpoint Configuration Manager.

  • Servicios de implementación de Windows.

  • Arranque PXE.

  • Arranque HTTPS y otros escenarios de arranque de red.

• Una manera de hacerlo es usar la instalación de paquetes sin conexión de DISM en las imágenes a las que se sirve en estos escenarios. Esto incluye la actualización de los archivos de arranque que ofrecen estos servicios.

• Si usa software de copia de seguridad para guardar el contenido de la instalación de Windows en una imagen de recuperación, asegúrese de ejecutar una copia de seguridad completa después de aplicar las mitigaciones del 9 de abril de 2024. Asegúrese de realizar una copia de seguridad de la partición de disco EFI además de la partición del sistema operativo Windows. Identifique claramente las copias de seguridad realizadas antes de aplicar las mitigaciones del 9 de abril de 2024 frente a las realizadas después de aplicarlas.

OEM de PC Windows

• Consulte las instrucciones completas y scripting para Actualizar los medios de instalación de Windows con la actualización dinámica.

Actualización de medios de instalación de Windows

Puede usar la aplicación Crear unidad de recuperación siguiendo estos pasos. Este medio se puede usar para reinstalar un dispositivo en caso de que haya un problema importante, como un error de hardware. Podrá usar la unidad de recuperación para reinstalar Windows.

1. Vaya a un dispositivo en el que se hayan aplicado las actualizaciones del 9 de abril de 2024 y el primer paso de mitigación (actualizar la DB de arranque seguro).

2. En el menú Inicio, busque el applet del panel de control "Crear una unidad de recuperación" y siga las instrucciones para crear una unidad de recuperación.

3. Con la unidad flash USB recién creada montada (por ejemplo, como unidad "D:"), ejecute los siguientes comandos como administrador. Escriba cada uno de los comandos siguientes y, a continuación, presione Entrar:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Si administra los medios instalables en su entorno con la guía de Actualizar los medios de instalación de Windows con la actualización dinámica, siga estos pasos. Estos pasos crearán una unidad flash de arranque que usa archivos de arranque firmados por el certificado de firma "Windows UEFI CA 2023".

1. Vaya a un dispositivo en el que se hayan aplicado las actualizaciones del 9 de abril de 2024 y el primer paso de mitigación (actualizar la DB de arranque seguro).

2. Siga los pasos del vínculo siguiente para crear medios con las actualizaciones del 9 de abril de 2024. Actualizar los medios de instalación de Windows con la actualización dinámica

3. Coloque el contenido del medio en una unidad flash USB y monte dicha unidad como una letra de unidad. Por ejemplo, monte la unidad flash USB como "D:".

4. Ejecute los siguientes comandos desde una ventana de comandos como administrador. Escriba cada uno de los comandos siguientes y, a continuación, presione Entrar.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Si un dispositivo tiene la configuración de arranque seguro restablecida a los valores predeterminados después de aplicar las mitigaciones, el dispositivo no se iniciará. Para resolver este problema, se incluye una aplicación de reparación con las actualizaciones del 9 de abril de 2024 que se pueden usar para volver a aplicar el certificado "Windows UEFI CA 2023" a la base de datos (mitigación #1).

1. Vaya a un dispositivo en el que se hayan aplicado las actualizaciones del 9 de abril de 2024.

2. En una ventana de comandos, copie la aplicación de recuperación en la unidad flash USB con los siguientes comandos (suponiendo que la unidad flash sea la unidad "D:"). Escriba cada comando por separado y presione Entrar:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. En el dispositivo que tenga la configuración de arranque seguro restablecida a los valores predeterminados, inserte la unidad flash USB, reinicie el dispositivo y arranque desde dicha unidad.

Cronograma de las actualizaciones

Las actualizaciones se publicarán de la siguiente manera:

• Implementación inicial Esta fase se inició con las actualizaciones publicadas el 9 de mayo de 2023 y proporcionó mitigaciones básicas con pasos manuales para habilitar esas mitigaciones.

• Segunda implementación Esta fase se inició con las actualizaciones publicadas el 11 de julio de 2023, que agregaron pasos simplificados para habilitar las mitigaciones para el problema.

• Fase de evaluación Esta fase comenzará el 9 de abril de 2024 y agregará mitigaciones adicionales para el administrador de arranque.

• Fase de implementación final Aquí es cuando animaremos a todos los clientes a empezar a implementar las mitigaciones y actualizar los medios.

• Fase de cumplimiento Fase de aplicación que hará que las mitigaciones sean permanentes. La fecha de esta fase se anunciará más adelante.

Nota La programación de las versiones se puede revisar según sea necesario.

Errores del registro de eventos de Windows relacionados con CVE-2023-24932

Las entradas del registro de eventos de Windows relacionadas con la actualización de DB y DBX se describen en detalle en KB5016061: eventos de actualización de variables DB y DBX de arranque seguro.

Los eventos "correctos" relacionados con la aplicación de las mitigaciones se enumeran en la tabla siguiente.

Preguntas más frecuentes (P+F)

Solución de problemas de arranque

Una vez aplicadas las tres mitigaciones, el firmware del dispositivo no se iniciará con un administrador de arranque firmado por Windows Production PCA 2011. Los errores de arranque notificados por el firmware son específicos del dispositivo. Consulte la sección Procedimiento de recuperación.

Procedimiento de recuperación

Si algo va mal al aplicar las mitigaciones y no puede iniciar el dispositivo o necesita iniciarlo desde medios externos (como una unidad flash USB o un arranque PXE), pruebe las siguientes sugerencias:

1. Desactive el arranque seguro.
   
   Este procedimiento difiere entre los fabricantes de dispositivos y los modelos. Vaya al menú UEFI BIOS de los dispositivos, vaya a la configuración de arranque seguro y desactívelo. Consulte la documentación del fabricante del dispositivo para obtener información específica sobre este proceso. Puede encontrar más detalles en Deshabilitar el arranque seguro.

2. Restablezca las claves de arranque seguro a los valores predeterminados de fábrica.

   Si el dispositivo admite el restablecimiento de las claves de arranque seguro a los valores predeterminados de fábrica, realice esta acción ahora.

   NOTA: Algunos fabricantes de dispositivos tienen una opción "Limpiar" y "Restablecer" para las variables de arranque seguro; en este caso, se debe usar "Restablecer". El objetivo es devolver las variables de arranque seguro a los valores predeterminados de los fabricantes.

   El dispositivo debe iniciarse ahora, pero tenga en cuenta que es vulnerable al malware de los bootkits. Asegúrese de completar el paso 5 de este proceso de recuperación para volver a habilitar el arranque seguro.

3. Intente iniciar Windows desde el disco del sistema.

   1. Inicie sesión en Windows.

   2. Ejecute los siguientes comandos desde el símbolo del sistema de un administrador para restaurar los archivos de arranque en la partición de arranque del sistema EFI. Escriba cada comando por separado y presione Entrar:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. La ejecución de BCDBoot devuelve "Archivos de arranque creados correctamente". Una vez que se muestre este mensaje, reinicie el dispositivo de nuevo a Windows.

4. Si el paso 3 no recupera correctamente el dispositivo, vuelva a instalar Windows.

   1. Inicie el dispositivo desde un medio de recuperación existente.

   2. Continúe con la instalación de Windows con el medio de recuperación.

   3. Inicie sesión en Windows.

   4. Reinicie Windows para comprobar que el dispositivo se inicia de nuevo en Windows.

5. Vuelva a habilitar el arranque seguro y reinicie el dispositivo.
   
   Entre al menú UEFI del dispositivo y navegue hasta la configuración de arranque seguro, y actívelo. Consulte la documentación del fabricante del dispositivo para obtener información específica sobre este proceso. Puede encontrar más información en la sección "Volver a habilitar el arranque seguro".

Referencias

• Instrucciones para investigar ataques con CVE-2022-21894: La campaña BlackLotus

• Arranque seguro

• Habilitar arranque seguro en dispositivos Windows inscritos

• Para ver los eventos que se generan al aplicar actualizaciones de DBX, consulte:KB5016061: Direccionamiento de administradores de arranque vulnerables y revocados.