KB5025885: De intrekkingen van Windows Boot Manager beheren voor wijzigingen in beveiligd opstarten die zijn gekoppeld aan CVE-2023-24932

In dit artikel

• Samenvatting

  • Actie ondernemen

  • Bereik van impact

  • Inzicht in de risico's

  • Bekende problemen

• Richtlijnen voor deze release

• Richtlijnen voor implementatie van risicobeperking

• Opstartbare media

• Windows-installatiemedia bijwerken

• Timing van updates

• Windows-gebeurtenislogboekfouten met betrekking tot CVE-2023-24932

• Veelgestelde vragen (FAQ)

• Opstartproblemen oplossen

• Herstelprocedure

• Naslagwerken

• Wijzigingslogboek

Samenvatting

In dit artikel wordt de beveiliging beschreven tegen de openbaar bekendgemaakte beveiligingsfunctie voor beveiligd opstarten die gebruikmaakt van de BlackLotus UEFI-bootkit die wordt bijgehouden door CVE-2023-24932, hoe u de risicobeperkingen inschakelt en richtlijnen voor opstartbare media. Een bootkit is een schadelijk programma dat is ontworpen om zo vroeg mogelijk in een opstartvolgorde van een apparaat te laden om het starten van het besturingssysteem te beheren.

Beveiligd opstarten wordt aanbevolen door Microsoft om een veilig en vertrouwd pad te maken van de Unified Extensible Firmware Interface (UEFI) via de Windows-kernel vertrouwde opstartvolgorde. Beveiligd opstarten helpt bij het voorkomen van bootkit-malware in de opstartvolgorde. Als u Beveiligd opstarten uitschakelt, loopt een apparaat het risico te worden geïnfecteerd met bootkit-malware. Voor het oplossen van de secure boot-bypass beschreven in CVE-2023-24932 moeten opstartmanagers worden ingeleid. Dit kan problemen veroorzaken voor sommige opstartconfiguraties van apparaten.

Risicobeperkingen voor de secure boot-bypass zoals beschreven in CVE-2023-24932 zijn opgenomen in de Windows-beveiligingsupdates die zijn uitgebracht op of na 9 april 2024. Deze oplossingen zijn echter niet standaard ingeschakeld. Met deze updates wordt u aangeraden deze wijzigingen binnen uw omgeving te evalueren. Het volledige schema wordt beschreven in de sectie Tijdsinstellingen van updates .

Voordat u deze oplossingen inschakelt, moet u de details in dit artikel grondig doornemen en bepalen of u de risicobeperkingen moet inschakelen of moet wachten op een toekomstige update van Microsoft. Als u ervoor kiest om de risicobeperkingen in te schakelen, moet u controleren of uw apparaten zijn bijgewerkt en gereed zijn en de risico's begrijpen die in dit artikel worden beschreven. 

Richtlijnen voor deze release

Voer voor deze release de volgende twee stappen uit.

Stap 1: De Windows-beveiligingsupdate

installeren Installeer de maandelijkse Beveiligingsupdate voor Windows die is uitgebracht op of na 9 april 2024 op ondersteunde Windows-apparaten. Deze updates bevatten oplossingen voor CVE-2023-24932, maar zijn niet standaard ingeschakeld. Alle Windows-apparaten moeten deze stap voltooien, ongeacht of u van plan bent om de risicobeperkingen te implementeren.

Stap 2: de wijzigingen

evalueren We raden u aan het volgende te doen:

• Inzicht in de eerste twee oplossingen die het bijwerken van de Secure Boot-database en het bijwerken van opstartbeheer mogelijk maken.

• Bekijk het bijgewerkte schema.

• Begin met het testen van de eerste twee risicobeperkingen voor representatieve apparaten uit uw omgeving.

• Begin met de planning voor de implementatiefase vanaf 9 juli 2024.

Stap 3: de wijzigingen afdwingen

We raden u aan om inzicht te krijgen in de risico's die worden beschreven in de sectie Inzicht in de risico's.

• Inzicht in de impact op herstel en andere opstartbare media.

• Begin met het testen van de derde beperking waardoor het ondertekeningscertificaat dat wordt gebruikt voor alle vorige Windows-opstartmanagers, wordt ontkoppeld.

Richtlijnen voor implementatie van risicobeperking

Voordat u deze stappen voor het toepassen van de risicobeperkingen uitvoert, installeert u de maandelijkse onderhoudsupdate van Windows die is uitgebracht op of na 9 april 2024 op ondersteunde Windows-apparaten. Deze update bevat oplossingen voor CVE-2023-24932, maar deze zijn niet standaard ingeschakeld. Alle Windows-apparaten moeten deze stap voltooien, ongeacht uw plan om de risicobeperkingen in te schakelen.

Voer de volgende stappen uit om de update te implementeren en de intrekkingen toe te passen:

1. Installeer de bijgewerkte certificaatdefinities in de database.

   In deze stap wordt het certificaat 'Windows UEFI CA 2023' toegevoegd aan de UEFI 'Secure Boot Signature Database' (DB). Door dit certificaat toe te voegen aan de database, vertrouwt de firmware van het apparaat op opstarttoepassingen die door dit certificaat zijn ondertekend.

   1. Open een administrator-opdrachtprompt en stel de regkey in om de update uit te voeren naar DB door de volgende opdracht in te voeren:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      BELANGRIJK Start het apparaat twee keer opnieuw op om de installatie van de update te voltooien voordat u verdergaat met stap 2 en 3.

   2. Voer de volgende PowerShell-opdracht uit als beheerder en controleer of de database is bijgewerkt. Met deze opdracht moet True worden geretourneerd.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Werk Opstartbeheer op uw apparaat bij.

   Met deze stap wordt een opstartbeheertoepassing op uw apparaat geïnstalleerd die is ondertekend met het certificaat ''Windows UEFI CA 2023'.

   1. Open een administrator-opdrachtprompt en stel de regkey in om het door Windows UEFI CA 2023 ondertekende opstartbeheer te installeren:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Start het apparaat twee keer opnieuw op.

   3. Koppel als beheerder de EFI-partitie om deze klaar te maken voor inspectie:

      mountvol s: /s

   4. Controleer of het bestand 's:\efi\microsoft\boot\bootmgfw.efi' is ondertekend door het certificaat 'Windows UEFI CA 2023'. Ga hiervoor als volgt te werk:

      1. Klik op Start, typ opdrachtprompt in het vak Search en klik vervolgens op Opdrachtprompt.

      2. Typ in het opdrachtpromptvenster de volgende opdracht en druk op Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. Klik in Bestandsbeheer met de rechtermuisknop op het bestand C:\bootmgfw_2023.efi, klik op Eigenschappen en selecteer vervolgens het tabblad Digitale handtekeningen .

      4. Controleer in de lijst Handtekening of de certificaatketen Windows UEFI CA 2023 bevat. De certificaatketen moet overeenkomen met de volgende schermopname:
         
         

3. Schakel de intrekking in.

   De UEFI Forbidden List (DBX) wordt gebruikt om het laden van niet-vertrouwde UEFI-modules te blokkeren. In deze stap wordt bij het bijwerken van de DBX het certificaat 'Windows Production CA 2011' toegevoegd aan de DBX. Hierdoor worden alle opstartmanagers die door dit certificaat zijn ondertekend, niet meer vertrouwd.

   WAARSCHUWING: Voordat u de derde beperking toepast, maakt u een herstel flashstation dat kan worden gebruikt om het systeem op te starten. Zie de sectie Windows-installatiemedia bijwerken voor informatie hierover.

   Als uw systeem een niet-opstartbare status krijgt, volgt u de stappen in de sectie Herstelprocedure om het apparaat terug te zetten naar een status van vóór intrekking.

   1. Voeg het certificaat 'Windows Production PCA 2011' toe aan de Secure Boot UEFI Forbidden List (DBX). Hiervoor opent u een opdrachtpromptvenster als beheerder, typt u de volgende opdracht en drukt u op Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Start het apparaat twee keer opnieuw op en controleer of het volledig opnieuw is opgestart.

   3. Controleer of de installatie- en intrekkingslijst is toegepast door te zoeken naar gebeurtenis 1037 in het gebeurtenislogboek.
      
      Zie voor meer informatie over gebeurtenis 1037 KB5016061: Updategebeurtenissen van Secure Boot DB en DBX-variabele. Of voer de volgende PowerShell-opdracht uit als administrator en zorg ervoor dat deze Waar retourneert:

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

Opstartbare media

Het is belangrijk om opstartbare media bij te werken zodra de implementatiefase in uw omgeving begint. Richtlijnen en hulpprogramma's voor het bijwerken van media worden tijdig voor de implementatiefase verstrekt. De implementatiefase begint op 9 juli 2024.

Voorbeelden van opstartbare media en herstelmedia die worden beïnvloed door dit probleem:

• Opstartbare media die zijn gemaakt met behulp van Een herstelstation maken.

• Back-ups van Windows die zijn geïnstalleerd voordat de risicobeperkingen worden toegepast. Deze zijn niet direct bruikbaar om uw Windows-installatie te herstellen nadat de intrekkingen op uw apparaat zijn ingeschakeld.

• Aangepaste cd/dvd of herstelpartitie die is gemaakt door u, de fabrikant van uw apparaat (OEM) of ondernemingen.

• ISO (via downloaden of met behulp van de ADK).

• Netwerk opstarten:

  • Windows Deployment Services.

  • Preboot Execution Environment-opstartservices (PXE-opstartservices).

  • Microsoft Deployment Toolkit.

  • HTTPS Opstarten.

• OEM-installatie- en herstelmedia.

• Officiële Windows-media van Microsoft, waaronder:

  • Retailmedia.

  • Hulpprogramma voor het maken van media (ISO- of USB-station).

  • VLSC.

  • Visual Studio-abonneedownloads.

  • USB-station.

• Windows PE.

• Windows geïnstalleerd op fysieke hardware of virtuele machines.

• Windows-validatie besturingssysteem.

Als u opstartbare media gebruikt met een persoonlijk Windows-apparaat, moet u mogelijk een of meer van de volgende handelingen uitvoeren voordat u intrekkingen toepast:

• Als u persoonlijke back-upsoftware gebruikt om de inhoud van uw apparaat op te slaan, moet u een volledige back-up uitvoeren nadat u de oplossingen van 9 april 2024 hebt toegepast.

• Als u een opstartbare schijfinstallatiekopie (ISO), een cd-rom of dvd-media gebruikt, werkt u de media bij door de instructies te volgen die op een later tijdstip moeten worden verstrekt.

Enterprise

• Zie uitgebreide richtlijnen en scripts voor Windows-installatiemedia bijwerken met dynamische update.

• Als u opstart- of herstelscenario's voor netwerken in uw omgeving ondersteunt, moet u alle media en installatiekopieën bijwerken. Dit kan de volgende opstart- of herstelopties zijn:

  • Microsoft Deployment Toolkit.

  • Microsoft Endpoint Configuration Manager.

  • Windows Deployment Services.

  • PxE Boot.

  • HTTPS-opstart- en andere scenario's voor het opstarten van het netwerk.

• Een manier om dit te doen, is door DISM offline pakketinstallatie te gebruiken op de installatiekopieën die door deze scenario's worden geleverd. Dit omvat het bijwerken van de opstartbestanden die door deze services worden aangeboden.

• Als u back-upsoftware gebruikt om de inhoud van uw Windows-installatie op te slaan in een herstelinstallatiekopieën, moet u een volledige back-up uitvoeren nadat u de oplossingen van 9 april 2024 hebt toegepast. Zorg ervoor dat u een back-up van de EFI-schijfpartitie naast de Windows-besturingssysteempartitie. Identificeer duidelijk back-ups die zijn gemaakt voordat u de risicobeperkingen van 9 april 2024 toepast en de back-ups die zijn gemaakt na het toepassen van de risicobeperkingen.

OEM's voor Windows-pc's

• Zie uitgebreide richtlijnen en scripts voor Windows-installatiemedia bijwerken met dynamische update.

Windows-installatiemedia bijwerken

U kunt de toepassing Herstelstation maken gebruiken door deze stappen uit te voeren. Dit medium kan worden gebruikt om een apparaat opnieuw te installeren als er een groot probleem is, zoals een hardwarefout, kunt u het herstelstation gebruiken om Windows opnieuw te installeren.

1. Ga naar een apparaat waarop de updates van 9 april 2024 en de eerste risicobeperkingsstap (het bijwerken van de Secure Boot DB) zijn toegepast.

2. Zoek in het Startmenu naar de applet van het configuratiescherm 'Een herstelstation maken' en volg de instructies om een herstelstation te maken.

3. Terwijl het zojuist gemaakte flashstation is gekoppeld (bijvoorbeeld als station 'D:'), voert u de volgende opdrachten uit als beheerder. Typ elk van de volgende opdrachten en druk op Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Als u installeerbare media in uw omgeving beheert met behulp van de windows-installatiemedia bijwerken met dynamische updates , volgt u deze stappen. Met deze extra stappen wordt een opstartbaar flashstation gemaakt dat gebruikmaakt van opstartbestanden die zijn ondertekend door het handtekeningcertificaat 'Windows UEFI CA 2023'.

1. Ga naar een apparaat waarop de updates van 9 april 2024 en de eerste risicobeperkingsstap (het bijwerken van de Secure Boot DB) zijn toegepast.

2. Volg de stappen in de onderstaande koppeling om media te maken met de updates van 9 april 2024. Windows-installatiemedia bijwerken met dynamische update

3. Plaats de inhoud van het medium op een USB-stick en koppel het usb-station als een stationsletter. Koppel het usb-station bijvoorbeeld als 'D:'.

4. Voer de volgende opdrachten uit vanuit een opdrachtvenster als beheerder. Typ elk van de volgende opdrachten en druk op Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Als op een apparaat de instellingen voor beveiligd opstarten zijn ingesteld op de standaardwaarden na het toepassen van de oplossingen, wordt het apparaat niet opgestart. Om dit probleem op te lossen, is een reparatietoepassing opgenomen in de updates van 9 april 2024 die kunnen worden gebruikt om het Certificaat 'Windows UEFI CA 2023' opnieuw toe te toepassing op de DB (beperking #1).

1. Ga naar een apparaat waarop de updates van 9 april 2024 zijn toegepast.

2. Kopieer in een opdrachtvenster de herstel-app naar het flashstation met behulp van de volgende opdrachten (ervan uitgaande dat het flashstation het station 'D:' is). Typ elke opdracht afzonderlijk en druk op Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Plaats het flashstation op het apparaat waarop de instellingen voor beveiligd opstarten opnieuw zijn ingesteld op de standaardinstellingen, plaats het flashstation, start het apparaat opnieuw op en start op vanaf het flashstation.

Timing van updates

Updates worden als volgt uitgebracht:

• Initiële implementatie Deze fase begon met updates die zijn uitgebracht op 9 mei 2023 en bood basisbeperkingen met handmatige stappen om deze risicobeperkingen in te schakelen.

• Tweede implementatie Deze fase begon met updates die zijn uitgebracht op 11 juli 2023, waarbij vereenvoudigde stappen zijn toegevoegd om de risicobeperkingen voor het probleem in te schakelen.

• Evaluatiefase Deze fase begint op 9 april 2024 en voegt extra opstartbeheerbeperkingen toe.

• Laatste implementatiefase Dit is wanneer we alle klanten aanmoedigen om te beginnen met het implementeren van de risicobeperkingen en het bijwerken van media.

• Afdwingingsfase De afdwingingsfase die de risicobeperkingen permanent maakt. De datum voor deze fase wordt op een later tijdstip bekend gemaakt.

Opmerking Het releaseschema kan indien nodig worden herzien.

Windows-gebeurtenislogboekfouten met betrekking tot CVE-2023-24932

De vermeldingen in het Windows-gebeurtenislogboek met betrekking tot het bijwerken van de DB en DBX worden gedetailleerd beschreven in KB5016061: Updategebeurtenissen voor beveiligde opstartdatabase en DBX-variabele.

De 'geslaagde' gebeurtenissen met betrekking tot het toepassen van de risicobeperkingen worden vermeld in de volgende tabel.

Veelgestelde vragen (FAQ)

Opstartproblemen oplossen

Nadat alle drie de oplossingen zijn toegepast, wordt de apparaatfirmware niet opgestart met behulp van een opstartbeheer dat is ondertekend door Windows Production PCA 2011. De opstartfouten die door firmware worden gerapporteerd, zijn apparaatspecifiek. Raadpleeg de sectie Herstelprocedure .

Herstelprocedure

Als er iets misgaat tijdens het toepassen van de oplossingen en u uw apparaat niet kunt starten of als u moet starten vanaf externe media (zoals een usb-station of PXE-opstart), probeert u de volgende suggesties:

1. Schakel Beveiligd opstarten uit.
   
   Deze procedure verschilt per fabrikant en model. Voer het UEFI BIOS-menu van uw apparaten in, navigeer naar de instellingen voor beveiligd opstarten en schakel dit uit. Raadpleeg de documentatie van de fabrikant van uw apparaat voor meer informatie over dit proces. Meer informatie vindt u in Beveiligd opstarten uitschakelen.

2. Stel Sleutels voor beveiligd opstarten opnieuw in op de fabrieksinstellingen.

   Als het apparaat ondersteuning biedt voor het opnieuw instellen van de fabrieksinstellingen van de beveiligde opstartsleutels, voert u deze actie nu uit.

   OPMERKING Sommige apparaatfabrikanten hebben zowel een optie 'Wissen' als 'Opnieuw instellen' voor de variabelen Beveiligd opstarten, in welk geval 'Opnieuw instellen' moet worden gebruikt. Het doel is om de variabelen voor beveiligd opstarten terug te zetten op de standaardwaarden van de fabrikant.

   Uw apparaat moet nu worden gestart, maar houd er rekening mee dat het kwetsbaar is voor boot-kit-malware. Zorg ervoor dat u stap 5 van dit herstelproces voltooit om Beveiligd opstarten opnieuw in te schakelen.

3. Probeer Windows te starten vanaf de systeemschijf.

   1. Aanmelden bij Windows.

   2. Voer de volgende opdrachten uit vanaf een administrator-opdrachtprompt om de opstartbestanden in de opstartpartitie van het EFI-systeem te herstellen. Typ elke opdracht afzonderlijk en druk op Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Als u BCDBoot uitvoert, wordt 'Opstartbestanden gemaakt' geretourneerd. Nadat dit bericht is weergegeven, start u het apparaat opnieuw op naar Windows.

4. Als stap 3 het apparaat niet kan herstellen, installeert u Windows opnieuw.

   1. Start het apparaat vanaf bestaande herstelmedia.

   2. Ga verder met het installeren van Windows met behulp van het herstelmedium.

   3. Aanmelden bij Windows.

   4. Start Windows opnieuw op om te controleren of het apparaat weer wordt opgestart naar Windows.

5. Schakel Beveiligd opstarten opnieuw in en start het apparaat opnieuw op.
   
   Voer het UEFI-menu van het apparaat in, navigeer naar de instellingen voor beveiligd opstarten en schakel dit in. Raadpleeg de documentatie van de fabrikant van uw apparaat voor meer informatie over dit proces. Meer informatie vindt u in de sectie Beveiligd opstarten opnieuw inschakelen.

Naslagwerken

• Richtlijnen voor het onderzoeken van aanvallen met CVE-2022-21894: De BlackLotus-campagne

• Beveiligd opstarten

• Beveiligd opstarten inschakelen op ingeschreven Windows-apparaten

• Zie KB5016061: Adressering van kwetsbare en ingetrokken opstartmanagers voor gebeurtenissen die worden gegenereerd bij het toepassen van DBX-updates.