KB5025885. Kā pārvaldīt Windows sāknēšanas pārvaldnieka atsaukšanas drošās palaišanas izmaiņas, kas saistītas ar CVE-2023-24932

Šajā rakstā

• Kopsavilkums

  • Rīcība

  • Ietekmes tvērums

  • Risku izpratne

  • Zināmās problēmas

• Norādījumi par šo laidienu

• .

• Sāknēšanas datu nesējs

• Windows instalēšanas datu nesēja atjaunināšana

• Atjauninājumu hronometrāža

• Windows notikumu žurnāla kļūdas saistībā ar CVE-2023-24932

• Bieži uzdotie jautājumi (bieži uzdotie jautājumi)

• Sāknēšanas problēmu novēršana

• Atkopšanas procedūra

• Uzziņas

• Izmaiņu žurnāls

Kopsavilkums

Šajā rakstā ir aprakstīta aizsardzība pret publiski pieejamu drošās sāknēšanas drošības līdzekli, kas izmanto BlackLotus UEFI bootkit, ko reģistrējis CVE-2023-24932, kā nodrošināt atvieglojumus un norādījumus par sāknējamo datu nesēju. Sāknēšanas programma ir ļaunprātīga programma, kas ir izstrādāta pēc iespējas ātrāk ielādēt ierīces startēšanas secībā, lai kontrolētu operētājsistēmas startēšanu.

Secure Boot ir ieteicams izmantot korporācija Microsoft, lai izveidotu drošu un uzticamu ceļu no vienotās paplašināmā aparātprogrammatūras interfeisa (Untensible Firmware Interface — UEFI), izmantojot Windows kernel Trusted Boot secību. Drošā palaišana palīdz novērst sāknēšanas ļaunprogrammatūru palaišanas secībā. Atspējojot drošo sāknēšanas programmu, pastāv risks, ka tā tika inficēta ar bootkit ļaunprogrammatūru. Lai izlabotu CVE-2023-24932 aprakstīto drošas sāknēšanas apiešanu, ir jālabo sāknēšanas pārvaldnieki. Tas var izraisīt problēmas dažās ierīces sāknēšanas konfigurācijās.

2023.–24932. gada CVE-2023-24932 detalizētie drošās sāknēšanas apiešanas paņēmieni ir iekļauti Windows drošības atjauninājumos, kas izlaisti 2024. gada 9. aprīlī vai pēc tam. Tomēr šie atvieglojumus nav iespējotas pēc noklusējuma. Ar šiem atjauninājumiem ieteicams sākt novērtēt šīs izmaiņas savā vidē. Pilns grafiks ir aprakstīts sadaļā Atjauninājumu hronometrāža .

Pirms šo risku mazināšanas iespējošanas rūpīgi pārskatiet šajā rakstā detalizēto informāciju un nosakiet, vai ir jāiespējo atvieglojumus vai jāgaida atjauninājums no Microsoft vēlāk. Ja izvēlaties iespējot riskus, jums jāpārbauda, vai jūsu ierīces ir atjauninātas un gatavas, un jāizprot šajā rakstā aprakstītie riski. 

Norādījumi par šo laidienu

Šajā laidienā veiciet abas šīs darbības.

1. darbība. Windows drošības atjauninājuma instalēšana

Instalējiet Windows ikmēneša drošības atjauninājumu, kas izlaists 2024. gada 9. aprīlī vai pēc tam, atbalstītās Windows ierīcēs. Šie atjauninājumi ietver riskus, kas attiecas uz CVE-2023-24932, bet pēc noklusējuma nav iespējoti. Visām Windows ierīcēm ir jāveic šī darbība neatkarīgi no tā, vai plānojat ieviest atvieglojumus.

2. darbība. Izmaiņu izvērtēšana

Iesakām veikt tālāk norādītās darbības.

• Izprast pirmos divus riskus, kas ļauj atjaunināt Secure Boot DB un atjaunināt sāknēšanas pārvaldnieku.

• Pārskatiet atjaunināto grafiku.

• Sāciet testēt pirmos divus riskus, salīdzinot ar ierīces, kas ir no jūsu vides.

• Sāciet plānot izvietošanas posmu, sākot no 2024. gada 9. jūlija.

3. darbība. Izmaiņu veikšana

Mēs iesakām izprast riskus, kas izklāstīti sadaļā Riski.

• Izprast atkopšanas un citu sāknējamo datu nesēju ietekmi.

• Sāciet testēt trešo risku, kas neuzticas parakstīšanas sertifikātam, kas izmantots visiem iepriekšējiem Windows sāknēšanas pārvaldniekiem.

.

Pirms šo darbību veikšanas, lai lietotu riskus, instalējiet Windows ikmēneša apkalpošanas atjauninājumu, kas izlaists 2024. gada 9. aprīlī vai pēc tās, atbalstītās Windows ierīcēs. Šajā atjauninājumā ir iekļautas CVE-2023-24932 risku mazināšanas, bet tās pēc noklusējuma nav iespējotas. Visām Windows ierīcēm ir jāveic šī darbība neatkarīgi no jūsu plāna, lai iespējotu atvieglojumus.

Lai izvietotu atjauninājumu un lietotu atsaukšanas, veiciet tālāk norādītās darbības.

1. Db instalējiet atjauninātās sertifikātu definīcijas.

   Ar šo darbību UEFI "Secure Boot Signature Database" (DB) tiks pievienots "Windows UEFI CA 2023" sertifikāts. Pievienojot šo sertifikātu DB, ierīces aparātprogrammatūra uzticēsies palaišanas lietojumprogrammām, kuras parakstījīs šis sertifikāts.

   1. Atveriet administratora komandu uzvedni un iestatiet regkey, lai veiktu atjaunināšanu uz DB, ievadot šādu komandu:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      SVARĪGI! Pirms turpināt veikt 2. un 3. darbību, noteikti restartējiet ierīci divas reizes, lai pabeigtu atjauninājuma instalēšanu.

   2. Palaidiet tālāk norādīto PowerShell komandu kā administrators un pārbaudiet, vai DB ir sekmīgi atjaunināts. Šai komandai ir jāatgriež vērtība True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Atjauniniet sāknēšanas pārvaldnieku savā ierīcē.

   Šī darbība instalēs palaišanas pārvaldnieka lietojumprogrammu jūsu ierīcē, kas ir parakstīta ar sertifikātu "Windows UEFI CA 2023".

   1. Atveriet administratora komandu uzvedni un iestatiet regkey, lai instalētu "Windows UEFI CA 2023" parakstītu palaišanas pārvaldnieku:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Divas reizes restartējiet ierīci.

   3. Kā administrators kalns EFI nodalījums, lai sagatavotos pārbaudei:

      mountvol s: /s

   4. Pārbaudiet, vai failu "s:\efi\microsoft\boot\bootmgfw.efi" ir parakstījis sertifikāts "Windows UEFI CA 2023". Lai to izdarītu, veiciet tālāk norādītās darbības.

      1. Noklikšķiniet uz Sākt, lodziņā Sākums ierakstiet komandu Search pēc tam noklikšķiniet uz Komandu uzvedne.

      2. Komandu uzvednes logā ierakstiet šo komandu un pēc tam nospiediet taustiņu Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. Failu pārvaldniekā ar peles labo pogu noklikšķiniet uz faila C:\bootmgfw_2023.efi, noklikšķiniet uz Rekvizīti un pēc tam atlasiet cilni Ciparparaksti .

      4. Sarakstā Paraksts pārliecinieties, ka sertifikātu ķēde ietver Windows UEFI CA 2023. Sertifikātu ķēdei jāatbilst šādam ekrānuzņēmumam:
         
         

3. Iespējojiet atsaukšanas opciju.

   UEFI Forbidden List (DBX) tiek izmantots, lai bloķētu neuzticamus UEFI moduļus no ielādes. Šajā darbībā atjauninot DBX, DBX tiks pievienots sertifikāts "Windows Production CA 2011". Tādējādi visi ar šo sertifikātu parakstītie sāknēšanas pārvaldnieki vairs nebūs uzticami.

   BRĪDINĀJUMS Pirms trešās risku mazināšanas lietošanas izveidojiet atkopšanas zibatmiņas disku, ko var izmantot sistēmas palaišanai. Informāciju, kā to paveikt, skatiet sadaļā Windows instalēšanas multivides atjaunināšana.

   Ja jūsu sistēma kļūst tādā stāvoklī, kas nav sāknējams, izpildiet atkopšanas procedūras sadaļā norādītās darbības, lai ierīci atiestatītu uz iepriekšēju atsaukšanas stāvokli.

   1. Pievienojiet sertifikātu "Windows Production PCA 2011" drošas palaišanas UEFI aizliegts sarakstam (DBX). Lai to izdarītu, atveriet komandu uzvednes logus kā administrators, ierakstiet šo komandu un pēc tam nospiediet taustiņu Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Divas reizes restartējiet ierīci un pārliecinieties, vai tā ir pilnībā restartēta.

   3. Pārbaudiet, vai instalēšanas un atsaukšanas saraksts tika sekmīgi lietots, meklējot notikumu 1037 notikumu žurnālā.
      
      Informāciju par Notikumu 1037 skatiet rakstā KB5016061: Secure Boot DB un DBX mainīgo atjaunināšanas notikumi. Vai arī izpildiet tālāk norādīto PowerShell komandu kā administrators un pārliecinieties, vai tā atgriež vērtību True:

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

Sāknēšanas datu nesējs

Pēc izvietošanas posma sākuma vidē ir svarīgi atjaunināt sāknēšanas datu nesēju. Norādījumi un rīki multivides atjaunināšanai tiks sniegti laikus izvietošanas fāzē. Ir plānots, ka izvietošanas posms sāksies 2024. gada 9. jūlijā.

Piemērs ar sāknējamo datu nesēju un atkopšanas datu nesēju, kuru ietekmē šī problēma:

• Sāknēšanas datu nesējs, kas izveidots, izmantojot atkopšanas diska izveides funkciju.

• Windows dublējumi, kas tika veidoti pirms riska mazināšanas pasākumu lietošanas. Tie nav tieši izmantojami, lai atjaunotu Windows instalāciju pēc tam, kad ierīcē būs iespējota atsaukšana.

• Pielāgots kompaktdisks/DVD disks vai atkopšanas nodalījums, ko izveidojis jūs, ierīces ražotājs (OEM) vai uzņēmumi.

• ISO (lejupielādējot vai izmantojot ADK).

• Tīkla sāknēšana:

  • Windows izvietošanas pakalpojumi.

  • Preboot izpildes vides sāknēšanas pakalpojumi (PXE sāknēšanas pakalpojumi).

  • Microsoft Deployment Toolkit.

  • HTTPS sāknēšana.

• OEM instalēšanas un atkopšanas datu nesējs.

• Microsoft oficiālie Windows multivide, tostarp:

  • Mazumtirdzniecības datu nesēji.

  • Datu nesēja izveides rīks (ISO vai USB disks).

  • VLSC.

  • Visual Studio abonenta lejupielādes.

  • USB disks.

• Windows PE.

• Sistēma Windows instalēta fiziskajā aparatūrā vai virtuālajos mašīnās.

• Windows Validation OS.

Ja izmantojat sāknējamu datu nesēju ar personisku Windows ierīci, pirms atsaukšanas, iespējams, būs jāveic viena vai vairākas no šīm darbībām:

• Ja izmantojat personisko dublējuma programmatūru, lai saglabātu ierīces saturu, pēc 2024. gada 9. aprīļa pasākumu lietošanas noteikti palaidiet pilnu dublējumkopiju.

• Ja izmantojat sāknēšanas diska attēlu (ISO), CD-ROM vai DVD datu nesēju, atjauniniet datu nesēju, izpildot norādījumus, kas sniegti vēlāk.

Uzņēmums

• Skatiet visaptverošās vadlīnijas un skriptu skriptus Windows instalācijas datu nesēja atjaunināšanai, izmantojot dinamisko atjauninājumu.

• Ja atbalsta tīkla sāknēšanas vai atkopšanas scenārijus savā vidē, jums būs jāatjaunina visa multivide un attēli. Tas var ietvert šādas palaišanas vai atkopšanas opcijas:

  • Microsoft Deployment Toolkit.

  • Microsoft Endpoint Configuration Manager.

  • Windows izvietošanas pakalpojumi.

  • PxE Boot.

  • HTTPS sāknēšanas un citi tīkla sāknēšanas scenāriji.

• Viens veids, kā to izdarīt, ir izmantot DISM bezsaistes pakotnes instalāciju attēlos, kas tiek apkalpoti šajos scenārijos. Tas ietver arī šo pakalpojumu piedāvāto sāknēšanas failu atjaunināšanu.

• Ja izmantojat dublējuma programmatūru, lai saglabātu Windows instalācijas saturu atkopšanas attēlā, pēc 2024. gada 9. aprīļa risku mazināšanas lietošanas noteikti izveidojiet pilnu dublējumu. Noteikti dublējiet EFI diska nodalījumu papildus operētājsistēmas Windows nodalījumam. Skaidri identificējiet dublējumus, kas veikti pirms 2024. gada 9. aprīļa risku mazināšanas pasākumu lietošanas, pretstatā tiem, kas veikti pēc risku mazināšanas pasākumu lietošanas.

Windows PC OEM

• Skatiet visaptverošās vadlīnijas un skriptu skriptus Windows instalācijas datu nesēja atjaunināšanai, izmantojot dinamisko atjauninājumu.

Windows instalēšanas datu nesēja atjaunināšana

Varat izmantot atkopšanas diska izveides lietojumprogrammu , veicot tālāk norādītās darbības. Šo datu nesēju var izmantot, lai atkārtoti instalētu ierīci, ja rodas liela problēma, piemēram, aparatūras kļūme, varēsit izmantot atkopšanas disku, lai atkārtoti instalētu operētājsistēmu Windows.

1. Dodieties uz ierīci, kurā tiek lietots 2024. gada 9. aprīļa atjauninājums un pirmā risku mazināšanas darbība (drošās sāknēšanas DB atjaunināšana).

2. Sākuma izvēlnē meklējiet vadības paneļa "Atkopšanas diska izveide" sīklietotni un izpildiet norādījumus, lai izveidotu atkopšanas disku.

3. Kad jaunizveidotais zibatmiņas disks ir uzstādāms (piemēram, kā disks "D:"), kā administrators izpildiet šādas komandas. Ierakstiet katru no šīm komandām un pēc tam nospiediet taustiņu Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Ja savā vidē pārvaldāt instalējamu datu nesēju, izmantojot Windows instalēšanas datu nesēja atjaunināšanu ar dinamiskās atjaunināšanas norādījumiem, veiciet tālāk norādītās darbības. Šīs papildu darbības ļaus izveidot sāknējamu zibatmiņas disku, kurā tiek izmantoti sāknējam faili, ko parakstījis parakstīšanas sertifikāts "Windows UEFI CA 2023".

1. Dodieties uz ierīci, kurā ir lietots 2024. gada 9. aprīlis, atjauninājumi un pirmā riska mazināšanas darbība (drošās sāknēšanas DB atjaunināšana).

2. Izpildiet tālāk redzamajā saiti, lai izveidotu datu nesēju ar 2024. gada 9. aprīļa atjauninājumiem. Windows instalācijas datu nesēja atjaunināšana, izmantojot dinamisko atjaunināšanu

3. Novietojiet multivides saturu USB zibatmiņas diskā un pievienojiet zibatmiņas disku kā diska burtu. Piemēram, kalnā kalns ir jādublē kā "D:".

4. Palaidiet tālāk norādītās komandas komandu logā kā administrators. Ierakstiet katru no šīm komandām un pēc tam nospiediet taustiņu Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Ja pēc risku mazināšanas pasākumu novēršanas ierīcei tiek atiestatīti drošās sāknēšanas iestatījumi, ierīce netiks palaista. Lai novērstu šo problēmu, labošanas lietojumprogramma ir iekļauta 2024. gada 9. aprīļa atjauninājumos, ko var izmantot, lai DB atkārtoti lietotu sertifikātu "Windows UEFI CA 2023" (risku mazināšana #1).

1. Dodieties uz ierīci, kurā ir lietoti 2024. gada 9. aprīļa atjauninājumi.

2. Komandu logā kopējiet atkopšanas programmu zibatmiņas diskā, izmantojot tālāk norādītās komandas (pieņemot, ka zibatmiņas disks ir diskdzinis D:). Ierakstiet katru komandu atsevišķi un pēc tam nospiediet taustiņu Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Ierīcē, kurā ir drošās sāknēšanas iestatījumi, tiek atiestatīti uz noklusējuma iestatījumiem: ievietojiet zibatmiņas disku, restartējiet ierīci un startējiet no zibatmiņas diska.

Atjauninājumu hronometrāža

Atjauninājumi ir izlaisti šādi:

• Sākotnējā izvietošana Šajā posmā tika sākta atjaunināšana, kas izlaista 2023. gada 9. maijā, un sniegtas pamata risku mazināšanas darbības, izmantojot manuālas darbības, lai iespējotu šo risku.

• Otrā izvietošana Šajā posmā tika sākts ar 2023. gada 11. jūlijā izlaistajiem atjauninājumiem, kuros pievienotas vienkāršotas darbības, lai iespējotu problēmas risku mazināšanas pasākumus.

• Novērtēšanas fāze Šis posms sāksies 2024. gada 9. aprīlī un pievienos papildu sāknēja pārvaldnieka riskus.

• Beigu izvietošanas posms Šajā gadījumā mēs rosināsim visus klientus sākt izmantot atvieglojumus un atjaunināt multividi.

• Ieviešanas posms Ieviešanas posms, kas padara riskus pastāvīgus. Šī posma datums tiks paziņots vēlāk.

Piezīme Pēc nepieciešamības laidiena grafiku var pārskatīt.

Windows notikumu žurnāla kļūdas saistībā ar CVE-2023-24932

Ar DB un DBX atjaunināšanu saistītie Windows notikumu žurnāla ieraksti ir detalizēti aprakstīti rakstā KB5016061: Secure Boot DB un DBX mainīgo atjaunināšanas notikumi.

"Izdošanās" notikumi, kas saistīti ar risku mazināšanas pasākumu šanu, ir norādīti tālāk tabulā.

Bieži uzdotie jautājumi (bieži uzdotie jautājumi)

Sāknēšanas problēmu novēršana

Pēc tam, kad ir pielietotas visas trīs risku mazināšanas programmas, ierīces aparātprogrammatūra netiks palaista, izmantojot sāknēšanas pārvaldnieku, ko parakstīja Windows Production PCA 2011. Aparātprogrammatūras uzrādītās sāknēšanas kļūmes ir raksturīgas ierīcēm. Skatiet sadaļu Atkopšanas procedūra.

Atkopšanas procedūra

Ja, lietojot riskus, kaut kas nav kārtībā un nevarat startēt ierīci vai ir nepieciešams sākt darbu ar ārēju multividi (piemēram, zibatmiņa vai PXE sāknēšana), izmēģiniet tālāk norādītos ieteikumus.

1. Izslēdziet drošo sāknēšanas sistēmu.
   
   Dažādām ierīču ražotājiem un modeļiem šī procedūra atšķiras. Ievadiet savas ierīces UEFI BIOS izvēlni un naviģējiet uz drošās palaišanas iestatījumiem un izslēdziet to. Skatiet ierīces ražotāja dokumentāciju, lai iegūtu konkrētu informāciju par šo procesu. Papildinformācija ir pieejama lodziņā Drošās sāknēšanas atspējošana.

2. Atiestatiet drošas sāknēšanas taustiņu rūpnīcas noklusējumus.

   Ja ierīce atbalsta drošo sāknēšanas taustiņu atiestatīšanu uz rūpnīcas noklusējuma iestatījumiem, veiciet šo darbību tūlīt.

   NOTE Dažiem ierīču ražotājiem ir gan mainīgo "Clear" (Notīrīt), gan "Reset" (Atiestatīt) opcija drošas sāknēšanas mainīgajiem, un šādā gadījumā jāizmanto opcija "Reset" (Atiestatīt). Mērķis ir novietot drošās sāknēšanas mainīgos atpakaļ uz ražotājiem noklusējuma vērtībām.

   Tagad ierīcei ir jāsākas, bet ņemiet vērā, ka tā ir neaizsargāta pret sāknēšanas komplekta ļaunprogrammatūru. Pārliecinieties, vai esat pabeidzis šī atkopšanas procesa 5. darbību, lai atkārtoti iespējotu drošo sāknēšanas procesu.

3. Mēģiniet startēt Windows no sistēmas diska.

   1. Piesakieties sistēmā Windows.

   2. Izpildiet tālāk norādītās komandas administratora komandu uzvednē, lai atjaunotu sāknēšanas failus EFI sistēmas sāknēšanas nodalījumā. Ierakstiet katru komandu atsevišķi un pēc tam nospiediet taustiņu Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Palaižot BCDBoot, tiek atgriezts "Sekmīgi izveidoti sāknfaili". Kad tiek parādīts šis ziņojums, restartējiet ierīci atpakaļ sistēmā Windows.

4. Ja 3. darbība nevar sekmīgi atkopt ierīci, atkārtoti instalējiet sistēmu Windows.

   1. Startējiet ierīci no esoša atkopšanas datu nesēja.

   2. Turpiniet instalēt Windows, izmantojot atkopšanas datu nesēju.

   3. Piesakieties sistēmā Windows.

   4. Restartējiet sistēmu Windows, lai pārbaudītu, vai ierīce tiek startēta atpakaļ sistēmā Windows.

5. Atkārtoti iespējojiet drošo sāknēšanas programmu un restartējiet ierīci.
   
   Ievadiet ierīces UEFI izvēlni, naviģējiet uz drošās sāknēšanas iestatījumiem un ieslēdziet to. Skatiet ierīces ražotāja dokumentāciju, lai iegūtu konkrētu informāciju par šo procesu. Papildinformācija ir atrodama sadaļā "Drošās sāknēšanas atkārtota iespējošana".

Uzziņas

• Norādījumi par uzbrukumu izpēti, izmantojot CVE-2022-21894: BlackLotus kampaņu

• Droša palaišana

• Drošās sāknēšanas iespējošana reģistrētajās Windows ierīcēs

• Notikumus, kas tiek ģenerēti, lietojot DBX atjauninājumus, skatiet rakstā KB5016061: Neaizsargātu un atsauktu sāknēšanas pārvaldnieku adresēšana.