KB5025885: como gerenciar as revogações do Gerenciador de Inicialização do Windows das alterações de Inicialização Segura associadas à CVE-2023-24932

Neste artigo

• Resumo

  • Tome medidas

  • Escopo do Impacto

  • Entendendo os riscos

  • Problemas Conhecidos

• Diretrizes para esta versão

• Diretrizes de implantação de mitigação

• Mídia inicializável

• Atualizar a mídia de instalação do Windows

• Cronograma das atualizações

• Erros de log dos eventos do Windows relacionados ao CVE-2023-24932

• Perguntas frequentes

• Solução de problemas de inicialização

• Procedimento de recuperação

• Referências

• Log de mudanças

Resumo

Este artigo descreve a proteção contra o bypass do recurso de segurança de inicialização segura divulgado publicamente usando o bootkit BlackLotus UEFI rastreado por CVE-2023-24932, como habilitar as proteções e orientações para atualizar a mídia inicializável. Um bootkit é um programa malicioso projetado para ser carregado o mais cedo possível na sequência de inicialização de um dispositivo para controlar a inicialização do sistema operacional.

Inicialização Segura é recomendada pela Microsoft para fazer um caminho seguro e confiável da Unified Extensible Firmware Interface (UEFI) pela sequência de Inicialização Confiável do kernel do Windows. A Inicialização Segura ajuda a impedir o malware do kit de inicialização na sequência de inicialização. Desabilitar a Inicialização Segura coloca um dispositivo em risco de ser infectado por um malware do kit de inicialização. Corrigir o bypass de Inicialização Segura descrito no CVE-2023-24932 requer a revogação do gerenciador de inicialização. Isso pode causar problemas para algumas configurações de inicialização do dispositivo.

As mitigações contra o bypass de Inicialização Segura detalhadas no CVE-2023-24932 estão incluídas nas atualizações de segurança do Windows lançadas em ou após 9 de abril de 2024. As mitigações não estão habilitadas por padrão. Com essas atualizações, recomendamos que você comece a avaliar essas alterações em seu ambiente. A agenda completa é descrita na seção Tempo de atualizações.

Antes de habilitar essas proteções, você deve examinar de perto os detalhes deste artigo e determinar se precisa habilitar as proteções ou aguardar uma atualização futura da Microsoft. Se você optar por habilitar as mitigações, deverá verificar se seus dispositivos estão atualizados e prontos e entender os riscos descritos neste artigo. 

Diretrizes para esta versão

Para esta versão, siga estas duas etapas.

Etapa 1: instalar a atualização de segurança do Windows

Instale a atualização de segurança mensal do Windows lançada em ou após 9 de abril de 2024 em dispositivos Windows com suporte. Essas atualizações incluem mitigações paraCVE-2023-24932 mas não estão habilitados por padrão. Todos os dispositivos Windows devem concluir esta etapa se você planeja ou não implantar as mitigações.

Etapa 2: avaliar as alterações

Recomendamos que você faça o seguinte:

• Entenda as duas primeiras mitigações que permitem atualizar o DB de Inicialização Segura e atualizar o gerenciador de inicialização.

• Examine a agenda atualizada.

• Comece a testar as duas primeiras mitigações em relação a dispositivos representativos do seu ambiente.

• Comece a planejar a fase de implantação em 9 de julho de 2024.

Etapa 3: impor as alterações

Encorajamos você a entender os riscos chamados na seção Entender os Riscos.

• Entenda o impacto na recuperação e em outras mídias inicializáveis.

• Comece a testar a terceira mitigação que não é confiável o certificado de assinatura usado para todos os gerenciadors de inicialização anteriores do Windows.

Diretrizes de implantação de mitigação

Antes de seguir estas etapas para aplicar as mitigações, instale a atualização de manutenção mensal do Windows lançada em ou após 9 de abril de 2024, em dispositivos Windows com suporte. Esta atualização inclui mitigações para CVE-2023-24932, mas elas não estão habilitadas por padrão. Todos os dispositivos Windows devem concluir esta etapa independentemente do seu plano para habilitar as mitigações.

Para implantar a atualização e aplicar as revogações, siga estas etapas:

1. Instale as definições de certificado atualizadas no DB.

   Esta etapa adicionará o certificado "Windows UEFI CA 2023" ao UEFI "Banco de Dados de Assinatura de Inicialização Segura" (DB). Ao adicionar esse certificado ao DB, o firmware do dispositivo confiará em aplicativos de inicialização assinados por este certificado.

   1. Abra um prompt de comando do Administrador e defina a chave do registro para executar a atualização do BD digitando o seguinte comando e, em seguida, pressione Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      IMPORTANTE Certifique-se de reiniciar o dispositivo duas vezes para concluir a instalação da atualização antes de prosseguir para a Etapa 2 e Etapa 3.

   2. Execute o seguinte comando do PowerShell como administrador e verifique se o DB foi atualizado com êxito. Esse comando deve retornar True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Atualize o Gerenciador de Inicialização em seu dispositivo.

   Esta etapa instalará um aplicativo do gerenciador de inicialização em seu dispositivo que é assinado com o certificado "'Windows UEFI CA 2023".

   1. Abra um prompt de comando administrador e defina o regkey para instalar o gerenciador de inicialização assinado "'Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Reinicie o dispositivo duas vezes.

   3. Como administrador, monte a partição EFI para deixá-la pronta para inspeção:

      mountvol s: /s

   4. Valide que o arquivo "s:\efi\microsoft\boot\bootmgfw.efi" é assinado pelo certificado "Windows UEFI CA 2023". Para fazer isso, siga estas etapas:

      1. Clique em Iniciar, digite prompt de comando na caixa Pesquisar e clique em Prompt de Comando.

      2. Na janela prompt de comando, digite o seguinte comando e pressione Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. No Gerenciador de arquivos, clique com o botão direito no arquivo C:\bootmgfw_2023.efi, clique em Propriedades e selecione a guia Assinaturas digitais.

      4. Na lista Assinatura, confirme se a cadeia de certificados inclui WINDOWS UEFI CA 2023. A cadeia de certificados deve corresponder à seguinte captura de tela:
         
         

3. Habilite a revogação.

   A Lista Proibida UEFI (DBX) é usada para bloquear o carregamento dos módulos não confiáveis. Nesta etapa, a atualização do DBX adicionará o certificado "CA de produção do Windows 2011" ao DBX. Isso fará com que todos os gerentes de inicialização assinados por esse certificado não sejam mais confiáveis.

   AVISO: antes de aplicar a terceira mitigação, crie uma unidade flash de recuperação que possa ser usada para inicializar o sistema. Para obter informações sobre como fazer isso, consulte a seção Atualizar mídia de instalação do Windows.

   Se o sistema entrar em um estado não inicializável, siga as etapas na seção procedimento de recuperação para redefinir o dispositivo para um estado de pré-revogação.

   1. Adicione o certificado "Windows Production PCA 2011" à Lista Proibida UEFI de Inicialização Segura (DBX). Para fazer isso, abra uma janela prompt de comando como administrador, digite o seguinte comando e pressione Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Reinicie o dispositivo duas vezes e confirme se ele foi totalmente reiniciado.

   3. Verifique se a lista de instalação e revogação foi aplicada com êxito procurando o evento 1037 no log de eventos.
      
      Para obter informações sobre o Evento 1037, consulte KB5016061: DB de Inicialização Segura e eventos de atualização de variável DBX. Para fazer isso, execute o seguinte comando do PowerShell como administrador e verifique se o comando retorna Verdadeiro:

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

Mídia inicializável

Será importante atualizar a mídia inicializável assim que a Fase de Implantação começar em seu ambiente. Diretrizes e ferramentas para atualizar a mídia serão fornecidas a tempo da Fase de Implantação. A Fase de Implantação está prevista para começar em 9 de julho de 2024.

Exemplos de mídia inicializável e mídia de recuperação afetadas por esse problema:

• Mídia inicializável criada usando Criar uma unidade de recuperação.

• Backups do Windows que foram imagens antes das mitigações serem aplicadas. Elas não poderão ser usadas diretamente para restaurar a instalação do Windows depois que as revogações tiverem sido habilitadas no seu dispositivo.

• CD/DVD personalizado ou partição de recuperação criados por você, pelo fabricante do dispositivo (OEM) ou por empresas.

• ISO (por meio do download ou usando o ADK).

• Inicialização de Rede:

  • Serviços de Implantação do Windows.

  • Serviços de inicialização do Ambiente de Execução Prévia (serviços de inicialização PXE).

  • Microsoft Deployment Toolkit.

  • Inicialização HTTPS.

• Mídia de recuperação e instalação do OEM.

• Mídia oficial do Windows da Microsoft, incluindo:

  • Mídia de varejo.

  • Ferramenta de criação de mídia (ISO ou unidade USB).

  • VLSC.

  • Downloads de Assinantes do Visual Studio.

  • Unidade USB.

• Windows PE.

• Windows instalado em hardware físico ou máquinas virtuais.

• Sistema operacional de validação do Windows.

Se você usar a mídia inicializável com um dispositivo Windows pessoal, talvez você precise fazer um ou mais dos seguintes procedimentos antes de aplicar as revogações:

• Se você usar o software de backup pessoal para salvar o conteúdo do seu dispositivo, certifique-se de executar um backup completodepoisde aplicar as mitigações de 9 de abril de 2024.

• Se você usar uma imagem de disco inicializável (ISO), um CD-ROM ou uma mídia de DVD, atualize a mídia seguindo as instruções aqui.

Enterprise

• Confira as diretrizes e scripts abrangentes para Atualizar a mídia de instalação do Windows com a Atualização Dinâmica

• Se o seu ambiente for compatível com cenários de inicialização ou recuperação de rede, será necessário atualizar todas as mídias e imagens. Isso pode incluir as seguintes opções de inicialização ou recuperação:

  • Microsoft Deployment Toolkit.

  • Microsoft Endpoint Configuration Manager.

  • Serviços de Implantação do Windows.

  • Inicialização PxE.

  • Inicialização HTTPS e outros cenários de inicialização de rede.

• Uma maneira de fazer isso é usando a Instalação de pacote offline do DISM nas imagens atendidas por esses cenários. Isso inclui atualizar os arquivos de inicialização que estão sendo oferecidos por esses serviços.

• Se você usar o software de backup para salvar o conteúdo da instalação do seu Windows em uma imagem de recuperação, certifique-se de executar um backup completo após instalar as atualizações do Windows lançadas em ou após 9 de maio de 2024. Certifique-se de fazer o backup da partição de disco EFI, além da partição do sistema operacional Windows. Identifique claramente os backups feitos antes de aplicar as mitigações de 9 de abril de 2024 em relação às feitas após a aplicação das mitigações.

OEMs do Computador Windows

• Confira as diretrizes e scripts abrangentes para Atualizar a mídia de instalação do Windows com a Atualização Dinâmica

Atualizar a mídia de instalação do Windows

Você pode usar o aplicativo Criar Unidade de Recuperação seguindo estas etapas. Essa mídia pode ser usada para reinstalar um dispositivo caso haja um problema importante, como uma falha de hardware, você poderá usar a unidade de recuperação para reinstalar o Windows.

1. Vá para um dispositivo em que as atualizações de 9 de abril de 2024 e a primeira etapa de mitigação (atualizando o DB de Inicialização Segura) foram aplicadas.

2. No Menu Iniciar, pesquise por "Criar uma unidade de recuperação" e siga as instruções para criar uma unidade de recuperação.

3. Com a unidade flash recém-criada montada (por exemplo, como unidade "D:"), execute os seguintes comandos como administrador. Digite cada um dos comandos a seguir e pressione Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Se você gerenciar a mídia instalável em seu ambiente usando as orientações Atualizar mídia de instalação do Windows com Atualização Dinâmica, siga estas etapas. Essas etapas adicionais criarão uma unidade flash inicializável que usa arquivos de inicialização assinados pelo certificado de autenticação "Windows UEFI CA 2023".

1. Vá para um dispositivo em que a 9 de abril de 2024, as atualizações e a primeira etapa de mitigação (atualizando o DB de Inicialização Segura) foram aplicadas.

2. Siga as etapas no link abaixo para criar mídia com as atualizações de 9 de abril de 2024. Atualizar a mídia de instalação do Windows com o Dynamic Update

3. Coloque o conteúdo da mídia em uma pen drive USB e monte o pen drive como uma letra de unidade. Por exemplo, monte o pen drive como "D:".

4. Execute os seguintes comandos em uma janela de comando como administrador. Digite cada um dos comandos a seguir e pressione Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Se um dispositivo tiver as configurações de Inicialização Segura redefinidas para os padrões depois de aplicar as mitigações, o dispositivo não será inicializado. Para resolve esse problema, um aplicativo de reparo é incluído com as atualizações de 9 de abril de 2024 que podem ser usadas para reaplicar o certificado "Windows UEFI CA 2023" ao DB (mitigação nº 1).

1. Vá para um dispositivo em que as atualizações de 9 de abril de 2024 foram aplicadas.

2. Em uma janela de comando, copie o aplicativo de recuperação para a unidade flash usando os seguintes comandos (supondo que a unidade flash seja a unidade "D:"). Digite cada comando separadamente e pressione Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. No dispositivo que tem as configurações de Inicialização Segura redefinidas para os padrões, insira a unidade flash, reinicie o dispositivo e inicialize a partir da unidade flash.

Cronograma das atualizações

As atualizações serão lançadas da seguinte maneira:

• Implantação Inicial Essa fase começou com as atualizações lançadas em 9 de maio de 2023 e forneceu mitigações básicas com etapas manuais para serem habilitadas.

• Segunda Implantação Essa fase começou com as atualizações lançadas em 11 de julho de 2023, que adicionaram etapas simplificadas para habilitar as mitigações para o problema.

• Fase de Avaliação Essa fase começará em 9 de abril de 2024 e adicionará mitigações adicionais do gerenciador de inicialização.

• Fase final de implantação É quando incentivaremos todos os clientes a começar a implantar as mitigações e atualizar a mídia.

• Fase de Imposição A fase de imposição final que tornará as mitigações permanentes. A data dessa fase será anunciada posteriormente.

Observação O cronograma de lançamento pode ser revisado conforme necessário.

Erros de log dos eventos do Windows relacionados ao CVE-2023-24932

As entradas de log de eventos do Windows relacionadas à atualização do DB e do DBX são descritas em detalhes em KB5016061: Eventos de atualização de variável De inicialização segura E DBX.

Os eventos de "êxito" relacionados à aplicação das mitigações estão listados na tabela a seguir.

Perguntas frequentes

Solução de problemas de inicialização

Depois que todas as três mitigações tiverem sido aplicadas, o firmware do dispositivo não será inicializado usando um gerenciador de inicialização assinado pelo Windows Production PCA 2011. As falhas de inicialização relatadas pelo firmware são específicas do dispositivo. Consulte a seção Procedimento de recuperação.

Procedimento de recuperação

Se algo der errado durante esse processo e você não conseguir iniciar o dispositivo ou precisar iniciar a partir de uma mídia externa (por exemplo, pen drive ou inicialização PXE), tente os procedimentos a seguir.

1. Desative a Inicialização Segura.
   
   Este procedimento difere entre fabricantes e modelos de dispositivos. Entre no menu BIOS UEFI dos PCs, navegue até a configuração Inicialização Segura e desative-a. Consulte a documentação do fabricante do dispositivo para obter os detalhes sobre esse processo. Mais detalhes podem ser encontrados em Desabilitar inicialização segura.

2. Redefinir chaves de inicialização segura para padrões de fábrica.

   Se o dispositivo for compatível com a redefinição das chaves de inicialização seguras para padrões de fábrica, execute essa ação agora.

   OBSERVAÇÃO Alguns fabricantes de dispositivos têm uma opção "Limpar" e uma opção "Redefinir" para variáveis de Inicialização Segura, nesse caso, "Redefinir" deve ser usado. O objetivo é colocar as variáveis de Inicialização Segura de volta aos valores padrão dos fabricantes.

   Seu dispositivo deve iniciar agora, mas observe que ele está vulnerável a malwares de kits de inicialização. Certifique-se de concluir a etapa 5 no final desse processo de recuperação para reabilitar a Inicialização Segura.

3. Tente iniciar o Windows a partir do disco do sistema.

   1. Faça logon no Windows.

   2. Execute os seguintes comandos no prompt de comando do administrador para restaurar os arquivos de inicialização na partição de inicialização do sistema EFI. Digite cada comando separadamente e pressione Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. A execução do BCDBoot retorna "Arquivos de inicialização criados com êxito". Depois que essa mensagem for exibida, reinicie o dispositivo de volta para o Windows.

4. Se a etapa 3 não for bem-sucedida na recuperação do dispositivo, reinstale o Windows.

   1. Inicie a partir da mídia de recuperação existente.

   2. Prossiga para instalar o Windows usando a mídia de recuperação.

   3. Faça logon no Windows.

   4. Reinicie o Windows para verificar se o dispositivo começa de volta ao Windows.

5. Reabilitar a inicialização segura e reiniciar o dispositivo.
   
   Entre no menu UEFI do seu dispositivo, navegue até a configuração da Inicialização Segura e ative-a. Consulte a documentação do fabricante do dispositivo para obter os detalhes sobre esse processo. Mais informações podem ser encontradas na seção "Habilitar novamente a Inicialização Segura".

Referências

• Diretrizes para investigar ataques usando o CVE-2022-21894: A campanha BlackLotus

• Inicialização Segura

• Habilitar a inicialização segura nos dispositivos Windows registrados

• Para os eventos gerados ao aplicar atualizações DBX, consulte o seguinte artigo:KB5016061: Abordando gerenciadores de inicialização vulneráveis e revogados