Documentação de orientação para bloquear a reversão de atualizações de segurança relacionadas com a Segurança Baseada em Virtualização (VBS)

Nota importante sobre a política SkuSiPolicy.p7b

Para obter instruções para aplicar a política atualizada, consulte a secção Implementar uma política de revogação assinada pela Microsoft (SkuSiPolicy.p7b ). 

Neste artigo

• Resumo

• Âmbito do Impacto

• Mitigações disponíveis

• Compreender os riscos de mitigação

• Diretrizes de implementação de mitigação

  • Implementar uma política de revogação assinada pela Microsoft (SkuSiPolicy.p7b)

  • A atualizar suportes de dados de arranque externos

• Registos de Eventos do Windows

  • Eventos de ativação de políticas

  • Auditar e bloquear eventos

• Procedimento de remoção e recuperação de políticas

• Alterações efetuadas a este artigo

Resumo

A Microsoft foi informada de uma vulnerabilidade no Windows que permite a um atacante com privilégios de administrador substituir os ficheiros atualizados do sistema Windows com versões mais antigas, abrindo a porta para um atacante reintroduzir vulnerabilidades na segurança baseada em Virtualização (VBS).  A reversão destes binários pode permitir a um atacante contornar as funcionalidades de segurança do VBS e exfiltrar dados protegidos por VBS. Este problema está descrito em CVE-2024-21302 | Elevação do Modo Kernel Seguro do Windows de Vulnerabilidade de Privilégios.

Para resolver este problema, vamos revogar ficheiros de sistema VBS vulneráveis que não são atualizados. Devido ao grande número de ficheiros relacionados com VBS que têm de ser bloqueados, utilizamos uma abordagem alternativa para bloquear versões de ficheiros que não são atualizadas.

Âmbito do Impacto

Todos os dispositivos Windows que suportam VBS são afetados por este problema. Isto inclui dispositivos físicos no local e máquinas virtuais (VMs). O VBS é suportado em versões Windows 10 e posteriores do Windows e Windows Server 2016 e versões Windows Server posteriores.

O estado do VBS pode ser verificado através da ferramenta Microsoft System Information (Msinfo32.exe). Esta ferramenta recolhe informações sobre o seu dispositivo. Depois de iniciar Msinfo32.exe, desloque-se para baixo até à linha de segurança baseada em Virtualização . Se o valor desta linha for Em execução, o VBS está ativado e em execução.

O estado do VBS também pode ser verificado com Windows PowerShell com a classe WMI Win32_DeviceGuard. Para consultar o estado do VBS a partir do PowerShell, abra uma sessão de Windows PowerShell elevada e, em seguida, execute o seguinte comando:

Depois de executar o comando do PowerShell acima, o estado do estado do VBS deve ser um dos seguintes.

Mitigações disponíveis

Para todas as versões suportadas do Windows 10, versão 1507 e versões posteriores do Windows e Windows Server 2016 e versões Windows Server posteriores, os administradores podem implementar uma política de revogação assinada pela Microsoft (SkuSiPolicy.p7b). Isto impedirá que as versões vulneráveis dos ficheiros do sistema VBS que não são atualizados sejam carregadas pelo sistema operativo.  

Quando o SkuSiPolicy.p7b é aplicado a um dispositivo Windows, a política também será bloqueada no dispositivo ao adicionar uma variável ao firmware UEFI. Durante o arranque, a política carrega e o Windows bloqueia o carregamento de binários que violam a política. Se o bloqueio UEFI for aplicado e a política for removida ou substituída por uma versão mais antiga, o gestor de arranque do Windows não será iniciado e o dispositivo não será iniciado. Esta falha de arranque não mostrará um erro e o sistema avançará para a próxima opção de arranque disponível, o que poderá resultar num ciclo de arranque.

Uma política de CI assinada pela Microsoft adicional que está ativada por predefinição e não requer passos de implementação adicionais foi adicionada, o que não está vinculado à UEFI. Esta política ci assinada será carregada durante o arranque e a imposição desta política impedirá a reversão dos ficheiros do sistema VBS durante essa sessão de arranque. Ao contrário do SkuSiPolicy.p7b, um dispositivo pode continuar a arrancar se a atualização não estiver instalada. Esta política está incluída em todas as versões suportadas do Windows 10, versão 1507 e posterior. O SkuSkiPolicy.p7b ainda pode ser aplicado pelos administradores para fornecer proteção adicional para reversão em sessões de arranque.   

Os registos de Arranque Medido do Windows utilizados para atestar o estado de funcionamento do arranque do PC incluem informações sobre a versão da política a ser carregada durante o processo de arranque. Estes registos são mantidos em segurança pelo TPM durante o arranque e os serviços de atestado da Microsoft analisam estes registos para verificar se as versões de política corretas estão a ser carregadas. Os serviços de atestado impõem regras que garantem que uma versão de política específica ou superior é carregada; caso contrário, o sistema não será atestado como estando em bom estado de funcionamento.

Para que a mitigação da política funcione, a política tem de ser atualizada através da atualização de manutenção do Windows, uma vez que os componentes do Windows e a política têm de ser da mesma versão. Se a mitigação da política for copiada para o dispositivo, o dispositivo poderá não iniciar se for aplicada a versão errada da mitigação ou se a mitigação não funcionar conforme esperado. Além disso, as mitigações descritas no KB5025885 devem ser aplicadas ao seu dispositivo.

No Windows 11, versão 24H2, Windows Server 2022 e Windows Server 23H2, a Raiz Dinâmica de Confiança para Medição (DRTM) adiciona uma mitigação adicional para a vulnerabilidade de reversão. Esta mitigação está ativada por predefinição. Nestes sistemas, as chaves de encriptação protegidas por VBS estão vinculadas à política ci de Sessão de arranque VBS ativada por predefinição e só serão reveladas se a versão da política de CI correspondente estiver a ser imposta. Para ativar reversões iniciadas pelo utilizador, foi adicionado um período de tolerância para ativar a reversão segura de 1 versão do pacote de atualização do Windows sem perder a capacidade de anular a instalação da chave mestra do VSM. No entanto, a reversão iniciada pelo utilizador só é possível se o SkuSiPolicy.p7b não for aplicado. A política DE CI do VBS impõe que todos os binários de arranque não tenham sido revertidos para versões revogadas. Isto significa que, se um atacante com privilégios de administrador reverter binários de arranque vulneráveis, o sistema não será iniciado. Se a política de CI e os binários forem revertidos para uma versão anterior, os dados protegidos pelo VSM não serão selados.

Compreender os riscos de mitigação

Tem de estar ciente dos potenciais riscos antes de aplicar a política de revogação assinada pela Microsoft. Reveja estes riscos e faça as atualizações necessárias ao suporte de dados de recuperação antes de aplicar a mitigação.

Nota Estes riscos só são aplicáveis à política SkuSiPolicy.p7b e não são aplicáveis às proteções ativadas por predefinição.

• Bloqueio UEFI e Desinstalação de atualizações. Depois de aplicar o bloqueio UEFI com a política de revogação assinada pela Microsoft num dispositivo, o dispositivo não pode ser revertido (desinstalando as atualizações do Windows, utilizando um ponto de restauro ou por outros meios) se continuar a aplicar o Arranque Seguro. Mesmo reformatar o disco não removerá o bloqueio UEFI da mitigação se já tiver sido aplicado. Isto significa que se tentar reverter o SO Windows para um estado anterior que não tenha a mitigação aplicada, o dispositivo não será iniciado, não será apresentada nenhuma mensagem de erro e o UEFI avançará para a próxima opção de arranque disponível. Isto pode resultar num ciclo de arranque. Tem de desativar o Arranque Seguro para remover o bloqueio UEFI. Tenha em atenção todas as possíveis implicações e teste minuciosamente antes de aplicar as revogações descritas neste artigo no seu dispositivo.

• Suporte de Dados de Arranque Externo. Depois de as mitigações de bloqueio UEFI terem sido aplicadas a um dispositivo, o suporte de dados de arranque externo tem de ser atualizado com a atualização mais recente do Windows instalada no dispositivo. Se o suporte de dados de arranque externo não for atualizado para a mesma versão do Windows Update, o dispositivo poderá não arrancar a partir desse suporte de dados. Veja as instruções na secção Atualizar suportes de dados de arranque externos antes de aplicar as mitigações.

• Ambiente de Recuperação do Windows. O Ambiente de Recuperação do Windows (WinRE) no dispositivo tem de ser atualizado com a mais recente Atualização Dinâmica do SO Seguro do Windows disponibilizada a 8 de julho de 2025 no dispositivo antes de o SkuSipolicy.p7b ser aplicado ao dispositivo. Omitir este passo pode impedir o WinRE de executar a funcionalidade Repor PC.  Para obter mais informações, consulte Adicionar um pacote de atualização ao Windows RE.

• Arranque do Ambiente de Execução Pré-arranque (PXE). Se a mitigação for implementada num dispositivo e tentar utilizar o arranque PXE, o dispositivo não será iniciado a menos que a atualização mais recente do Windows também seja aplicada à imagem de arranque do servidor PXE. Não recomendamos a implementação de mitigações em origens de arranque de rede, a menos que o servidor de Arranque PXE tenha sido atualizado para a atualização mais recente do Windows lançada em ou depois de janeiro de 2025, incluindo o gestor de arranque PXE.  

Diretrizes de implementação de mitigação

Para resolver os problemas descritos neste artigo, pode implementar uma política de revogação assinada pela Microsoft (SkuSiPolicy.p7b). Esta mitigação só é suportada no Windows 10, versão 1507 e versões posteriores do Windows e Windows Server 2016.

Nota Se utilizar o BitLocker, certifique-se de que foi criada uma cópia de segurança da chave de recuperação BitLocker. Pode executar o seguinte comando a partir de uma linha de comandos do Administrador e tomar nota da palavra-passe numérica de 48 dígitos:

Registos de Eventos do Windows

O Windows regista eventos quando as políticas de integridade do código, incluindo SkuSiPolicy.p7b, são carregadas e quando um ficheiro é bloqueado devido à imposição de políticas. Pode utilizar estes eventos para verificar se a mitigação foi aplicada.

Os registos de integridade do código estão disponíveis no Windows Visualizador de Eventos em Registos de Aplicações e Serviços > Microsoft > > Integridade do Código do Windows > registos de Aplicações e Serviços > Operacionais > Services > Microsoft > Windows > AppLocker > MSI e Script.

Para obter mais informações sobre eventos de integridade de código, veja o Guia operacional do Controlo de Aplicações do Windows Defender.

Procedimento de Remoção e Recuperação de Políticas

Se algo correr mal depois de aplicar a mitigação, pode utilizar os seguintes passos para remover a mitigação:

1. Suspenda o BitLocker se estiver ativado. Execute o seguinte comando a partir de uma janela de Linha de Comandos elevada:

   Manager-bde -protectors -disable c: -rebootcount 3

2. Desative o Arranque Seguro no menu DO BIOS do UEFI.
   
   O procedimento para desativar o Arranque Seguro difere entre fabricantes e modelos de dispositivos. Para obter ajuda para localizar onde desativar o Arranque Seguro, consulte a documentação do fabricante do dispositivo. Pode encontrar mais detalhes em Desativar o Arranque Seguro.

3. Remova a política SkuSiPolicy.p7b.

   1. Inicie o Windows normalmente e, em seguida, inicie sessão.
      
      A política SkuSiPolicy.p7b tem de ser removida da seguinte localização:

      • <partição do sistema EFI>\Microsoft\Boot\SkuSiPolicy.p7b

   2. Execute os seguintes comandos a partir de uma sessão de Windows PowerShell elevada para limpar a política dessas localizações:

      $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
      $MountPoint = 's:'
      
      $EFIPolicyPath = "$MountPoint\EFI\Microsoft\Boot\SkuSiPolicy.p7b"
      $EFIDestinationFolder="$MountPoint\EFI\Microsoft\Boot"
      mountvol $MountPoint /S
      if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force }
      
      if (Test-Path   $EFIPolicyPath ) {Remove-Item -Path $EFIPolicyPath -Force }
      
      ​​​​​​​mountvol $MountPoint /D

4. Ative o Arranque Seguro a partir do BIOS.
   
   Consulte a documentação do fabricante do dispositivo para saber onde ativar o Arranque Seguro.
   
   Se tiver desativado o Arranque Seguro no Passo 1 e a unidade estiver protegida pelo BitLocker, suspenda a proteção do BitLocker e, em seguida, ative o Arranque Seguro no menu DO BIOS do UEFI .

5. Ative o BitLocker. Execute o seguinte comando a partir de uma janela de Linha de Comandos elevada:

   Manager-bde -protectors -enable c:

6. Reinicie o seu dispositivo.