KB5025885: Como gerir as revogações do Gestor de Arranque do Windows para alterações de Arranque Seguro associadas ao CVE-2023-24932

Neste artigo

• Resumo

  • Tomar Medidas

  • Âmbito do Impacto

  • Compreender os riscos

  • Problemas Conhecidos

• Diretrizes para esta versão

• Diretrizes de implementação de mitigação

• Suporte de dados de arranque

• Atualizar o suporte de dados de instalação do Windows

• Temporização das atualizações

• Erros do Registo de eventos do Windows relacionados com o CVE-2023-24932

• Perguntas Mais Frequentes (FAQ)

• Resolver problemas de arranque

• Procedimento de recuperação

• Referências

• Registo de alterações

Resumo

Este artigo descreve a proteção contra a funcionalidade de segurança de Arranque Seguro divulgada publicamente que utiliza o bootkit UEFI BlackLotus controlado pelo CVE-2023-24932, como ativar as mitigações e orientações sobre suportes de dados de arranque. Um bootkit é um programa malicioso concebido para ser carregado o mais cedo possível numa sequência de arranque de dispositivos para controlar o início do sistema operativo.

O Arranque Seguro é recomendado pela Microsoft para tornar um caminho seguro e fidedigno da Interface de Firmware Extensível Unificada (UEFI) através da sequência de Arranque Fidedigno do kernel do Windows. O Arranque Seguro ajuda a impedir o bootkit de software maligno na sequência de arranque. Desativar o Arranque Seguro coloca um dispositivo em risco de ser infetado por software maligno bootkit. Corrigir o desvio de Arranque Seguro descrito em CVE-2023-24932 requer a revogação dos gestores de arranque. Isto pode causar problemas em algumas configurações de arranque do dispositivo.

As mitigações contra a desativação do Arranque Seguro detalhadas no CVE-2023-24932 estão incluídas nas atualizações de segurança do Windows que foram lançadas a 9 de abril de 2024 ou depois de 9 de abril de 2024. No entanto, estas mitigações não estão ativadas por predefinição. Com estas atualizações, recomendamos que comece a avaliar estas alterações no seu ambiente. A agenda completa é descrita na secção Temporização das atualizações .

Antes de ativar estas mitigações, deve rever exaustivamente os detalhes neste artigo e determinar se tem de ativar as mitigações ou aguardar uma atualização futura da Microsoft. Se optar por ativar as mitigações, tem de verificar se os seus dispositivos estão atualizados e prontos e compreender os riscos descritos neste artigo. 

Diretrizes para esta versão

Para esta versão, siga estes dois passos.

Passo 1: Instalar a atualização

de segurança do Windows Instale a atualização de segurança mensal do Windows disponibilizada em ou depois de 9 de abril de 2024 em dispositivos Windows suportados. Estas atualizações incluem mitigações para CVE-2023-24932, mas não estão ativadas por predefinição. Todos os dispositivos Windows devem concluir este passo, quer planeie ou não implementar as mitigações.

Passo 2: Avaliar as alterações

Recomendamos que faça o seguinte:

• Compreenda as duas primeiras mitigações que permitem atualizar a BD de Arranque Seguro e atualizar o gestor de arranque.

• Reveja a agenda atualizada.

• Comece a testar as duas primeiras mitigações em dispositivos representativos do seu ambiente.

• Comece a planear a fase de implementação no próximo dia 9 de julho de 2024.

Passo 3: Impor as alterações

Recomendamos que compreenda os riscos destacados na secção Compreender os Riscos.

• Compreenda o impacto na recuperação e noutros suportes de dados de arranque.

• Comece a testar a terceira mitigação que desconfie do certificado de assinatura utilizado para todos os gestores de arranque anteriores do Windows.

Diretrizes de implementação de mitigação

Antes de seguir estes passos para aplicar as mitigações, instale a atualização de manutenção mensal do Windows disponibilizada em ou depois de 9 de abril de 2024 em dispositivos Windows suportados. Esta atualização inclui mitigações para CVE-2023-24932, mas não estão ativadas por predefinição. Todos os dispositivos Windows devem concluir este passo, independentemente do seu plano para ativar as mitigações.

Para implementar a atualização e aplicar as revogações, siga estes passos:

1. Instale as definições de certificado atualizadas para a BD.

   Este passo adicionará o certificado "WINDOWS UEFI CA 2023" à UEFI "Secure Boot Signature Database" (DB). Ao adicionar este certificado à BD, o firmware do dispositivo irá confiar nas aplicações de arranque assinadas por este certificado.

   1. Abra uma linha de comandos de Administrador e defina a chave de registo para efetuar a atualização para a BD ao introduzir o seguinte comando:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      IMPORTANTE Certifique-se de que reinicia o dispositivo duas vezes para concluir a instalação da atualização antes de prosseguir para os Passos 2 e 3.

   2. Execute o seguinte comando do PowerShell como Administrador e verifique se a BD foi atualizada com êxito. Este comando deve devolver Verdadeiro.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Atualize o Gestor de Arranque no seu dispositivo.

   Este passo irá instalar uma aplicação de gestor de arranque no seu dispositivo que está assinada com o certificado "MICROSOFT UEFI CA 2023".

   1. Abra uma linha de comandos do Administrador e defina a chave de registo para instalar o gestor de arranque assinado ""WINDOWS UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Reinicie o dispositivo duas vezes.

   3. Como Administrador, monte a partição EFI para prepará-la para inspeção:

      mountvol s: /s

   4. Confirme que o ficheiro "s:\efi\microsoft\boot\bootmgfw.efi" está assinado pelo certificado "WINDOWS UEFI CA 2023". Para tal, siga estes passos:

      1. Clique em Iniciar, escreva linha de comandos na caixa Pesquisa e, em seguida, clique em Linha de Comandos.

      2. Na janela Linha de Comandos , escreva o seguinte comando e, em seguida, prima Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. No Gestor de Ficheiros, clique com o botão direito do rato no ficheiro C:\bootmgfw_2023.efi, clique em Propriedades e, em seguida, selecione o separador Assinaturas Digitais .

      4. Na lista Assinatura, confirme que a cadeia de certificados inclui a AC 2023 do UEFI do Windows. A cadeia de certificados deve corresponder à seguinte captura de ecrã:
         
         

3. Ative a revogação.

   A Lista Proibida do UEFI (DBX) é utilizada para bloquear o carregamento de módulos UEFI não fidedignos. Neste passo, atualizar o DBX irá adicionar o certificado "Windows Production CA 2011" ao DBX. Isto fará com que todos os gestores de arranque assinados por este certificado deixem de ser considerados fidedignos.

   AVISO: antes de aplicar a terceira mitigação, crie uma pen de recuperação que possa ser utilizada para iniciar o sistema. Para obter informações sobre como fazê-lo, consulte a secção Atualizar suportes de dados de instalação do Windows.

   Se o seu sistema entrar num estado não inicializável, siga os passos na secção Procedimento de recuperação para repor o dispositivo para um estado de pré-revogação.

   1. Adicione o certificado "Windows Production PCA 2011" à Lista Proibida do UEFI de Arranque Seguro (DBX). Para tal, abra as janelas da Linha de Comandos como Administrador, escreva o seguinte comando e, em seguida, prima Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Reinicie o dispositivo duas vezes e confirme que foi totalmente reiniciado.

   3. Verifique se a lista de instalação e revogação foi aplicada com êxito ao procurar o evento 1037 no registo de eventos.
      
      Para obter informações sobre o Evento 1037, veja KB5016061: Secure Boot DB and DBX variable update events (Evento 1037: Eventos de atualização de variáveis DBX e DBX de Arranque Seguro). Em alternativa, execute o seguinte comando do PowerShell como Administrador e certifique-se de que devolve Verdadeiro:

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

Suporte de dados de arranque

Será importante atualizar o suporte de dados de arranque assim que a Fase de Implementação começar no seu ambiente. A documentação de orientação e as ferramentas para atualizar o suporte de dados serão fornecidas a tempo da Fase de Implementação. A Fase de Implementação está agendada para 9 de julho de 2024.

Exemplos de suportes de dados de arranque e suportes de dados de recuperação afetados por este problema:

• Suporte de dados de arranque criado com a opção Criar uma unidade de recuperação.

• Cópias de segurança do Windows que foram imagem antes da aplicação das mitigações. Estes não poderão ser diretamente utilizáveis para restaurar a instalação do Windows após as revogações terem sido ativadas no seu dispositivo.

• CD/DVD personalizado ou partição de recuperação criada por si, pelo fabricante do dispositivo (OEM) ou pelas empresas.

• ISO (através da transferência ou através do ADK).

• Arranque de Rede:

  • Serviços de Implementação do Windows.

  • Serviços de arranque do Ambiente de Execução Pré-inicial (serviços de arranque PXE).

  • Microsoft Deployment Toolkit.

  • Arranque HTTPS.

• Suporte de dados de instalação e recuperação OEM.

• Suportes de dados oficiais do Windows da Microsoft, incluindo:

  • Suporte de dados de revenda.

  • Ferramenta de criação de suportes de dados (ISO ou pen USB).

  • VLSC.

  • Transferências de Subscritores do Visual Studio.

  • Pen USB.

• Windows PE.

• Windows instalado em máquinas virtuais ou hardware físico.

• SO de Validação do Windows.

Se utilizar suportes de dados de arranque com um dispositivo Windows pessoal, poderá ter de efetuar um ou mais dos seguintes procedimentos antes de aplicar revogações:

• Se utilizar software de cópia de segurança pessoal para guardar os conteúdos do seu dispositivo, certifique-se de que executa uma cópia de segurança completa após aplicar as mitigações de 9 de abril de 2024.

• Se utilizar uma imagem de disco de arranque (ISO), um CD-ROM ou um suporte de dados de DVD, atualize o suporte de dados seguindo as instruções a fornecer posteriormente.

Enterprise

• Veja diretrizes abrangentes e scripting para Atualizar o suporte de dados de instalação do Windows com a Atualização Dinâmica.

• Se suportar cenários de arranque ou recuperação de rede no seu ambiente, terá de atualizar todos os suportes de dados e imagens. Isto pode incluir as seguintes opções de arranque ou recuperação:

  • Microsoft Deployment Toolkit.

  • Microsoft Endpoint Configuration Manager.

  • Serviços de Implementação do Windows.

  • Arranque PxE.

  • Arranque HTTPS e outros cenários de arranque de rede.

• Uma forma de o fazer é utilizar a instalação de pacotes offline DISM nas imagens que estão a ser servidas por estes cenários. Isto inclui atualizar os ficheiros de arranque que estão a ser oferecidos por estes serviços.

• Se utilizar software de cópia de segurança para guardar o conteúdo da sua instalação do Windows numa imagem de recuperação, certifique-se de que executa uma cópia de segurança completa após aplicar as mitigações de 9 de abril de 2024. Certifique-se de que cria uma cópia de segurança da partição do disco EFI para além da partição do sistema operativo Windows. Identifique claramente as cópias de segurança efetuadas antes de aplicar as mitigações de 9 de abril de 2024 versus as efetuadas após a aplicação das mitigações.

Windows PC OEMs

• Veja diretrizes abrangentes e scripting para Atualizar o suporte de dados de instalação do Windows com a Atualização Dinâmica.

Atualizar o suporte de dados de instalação do Windows

Pode utilizar a aplicação Criar Unidade de Recuperação ao seguir estes passos. Este suporte de dados pode ser utilizado para reinstalar um dispositivo caso exista um problema grave, como uma falha de hardware, poderá utilizar a unidade de recuperação para reinstalar o Windows.

1. Aceda a um dispositivo onde foram aplicadas as atualizações de 9 de abril de 2024 e o primeiro passo de mitigação (atualização da BD de Arranque Seguro).

2. No Menu Iniciar, procure o painel de controlo "Criar uma Unidade de Recuperação" e siga as instruções para criar uma unidade de recuperação.

3. Com a pen criada recentemente (por exemplo, como a unidade "D:"), execute os seguintes comandos como administrador. Escreva cada um dos seguintes comandos e, em seguida, prima Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Se gerir suportes de dados instaláveis no seu ambiente através da documentação de orientação Atualizar o suporte de dados de instalação do Windows com a Atualização Dinâmica , siga estes passos. Estes passos adicionais irão criar uma pen de arranque que utiliza ficheiros de arranque assinados pelo certificado de assinatura "WINDOWS UEFI CA 2023".

1. Aceda a um dispositivo onde foram aplicadas as atualizações de 9 de abril de 2024 e o primeiro passo de mitigação (atualização da BD de Arranque Seguro).

2. Siga os passos na ligação abaixo para criar suportes de dados com as atualizações de 9 de abril de 2024. Atualizar o suporte de dados de instalação do Windows com a Atualização Dinâmica

3. Coloque o conteúdo do suporte de dados numa pen USB e monte a pen USB como uma letra de unidade. Por exemplo, monte a pen como "D:".

4. Execute os seguintes comandos a partir de uma janela de comando como administrador. Escreva cada um dos seguintes comandos e, em seguida, prima Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Se um dispositivo tiver as definições de Arranque Seguro repostas para as predefinições depois de aplicar as mitigações, o dispositivo não arrancará. Para resolver este problema, é incluída uma aplicação de reparação com as atualizações de 9 de abril de 2024 que podem ser utilizadas para reaplicar o certificado "WINDOWS UEFI CA 2023" à BD (mitigação n.º 1).

1. Aceda a um dispositivo onde foram aplicadas as atualizações de 9 de abril de 2024.

2. Numa janela de comandos, copie a aplicação de recuperação para a pen com os seguintes comandos (partindo do princípio de que a pen é a unidade "D:"). Escreva cada comando separadamente e, em seguida, prima Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. No dispositivo que tem as definições de Arranque Seguro repostas para as predefinições, insira a pen, reinicie o dispositivo e arranque a partir da pen.

Temporização das atualizações

Atualizações são lançadas da seguinte forma:

• Implementação Inicial Esta fase começou com as atualizações lançadas a 9 de maio de 2023 e forneceu mitigações básicas com passos manuais para ativar essas mitigações.

• Segunda Implementação Esta fase começou com as atualizações lançadas a 11 de julho de 2023, que adicionaram passos simplificados para ativar as mitigações para o problema.

• Fase de Avaliação Esta fase começará a 9 de abril de 2024 e adicionará mitigações adicionais do gestor de arranque.

• Fase de Implementação Final É nesta altura que iremos incentivar todos os clientes a começarem a implementar as mitigações e a atualizar os suportes de dados.

• Fase de Imposição A Fase de Imposição que tornará as mitigações permanentes. A data para esta fase será anunciada posteriormente.

Nota A agenda de lançamento pode ser revista conforme necessário.

Erros do Registo de eventos do Windows relacionados com o CVE-2023-24932

As entradas do registo de Eventos do Windows relacionadas com a atualização da BD e do DBX são descritas em detalhe no KB5016061: Eventos de atualização da variável DBX e da BD de Arranque Seguro.

Os eventos de "êxito" relacionados com a aplicação das mitigações estão listados na tabela seguinte.

Perguntas Mais Frequentes (FAQ)

Resolver problemas de arranque

Depois de as três mitigações terem sido aplicadas, o firmware do dispositivo não arrancará com um gestor de arranque assinado pelo Windows Production PCA 2011. As falhas de arranque comunicadas pelo firmware são específicas do dispositivo. Veja a secção Procedimento de recuperação .

Procedimento de recuperação

Se algo correr mal ao aplicar as mitigações e não conseguir iniciar o dispositivo ou se precisar de iniciar a partir de suportes de dados externos (como uma pen usb ou um arranque PXE), experimente as seguintes sugestões:

1. Desative o Arranque Seguro.
   
   Este procedimento difere entre fabricantes e modelos de dispositivos. Introduza o menu UEFI BIOS dos seus dispositivos, navegue para as definições de Arranque Seguro e desative-o. Consulte a documentação do fabricante do dispositivo para obter informações específicas sobre este processo. Pode encontrar mais detalhes em Desativar o Arranque Seguro.

2. Repor as chaves de Arranque Seguro para as predefinições de fábrica.

   Se o dispositivo suportar a reposição das chaves de arranque segura para as predefinições de fábrica, execute esta ação agora.

   NOTA Alguns fabricantes de dispositivos têm uma opção "Limpar" e uma opção "Repor" para variáveis de Arranque Seguro. Nesse caso, deve ser utilizada a opção "Repor". O objetivo é voltar a colocar as variáveis de Arranque Seguro nos valores predefinidos dos fabricantes.

   O dispositivo deve ser iniciado agora, mas tenha em atenção que está vulnerável a software maligno do kit de arranque. Certifique-se de que conclui o Passo 5 deste processo de recuperação para reativar o Arranque Seguro.

3. Tente iniciar o Windows a partir do disco do sistema.

   1. Inicie sessão no Windows.

   2. Execute os seguintes comandos a partir de uma linha de comandos do Administrador para restaurar os ficheiros de arranque na partição de arranque do sistema EFI. Escreva cada comando separadamente e, em seguida, prima Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. A execução do BCDBoot devolve "Ficheiros de arranque criados com êxito". Depois de esta mensagem ser apresentada, reinicie o dispositivo novamente para o Windows.

4. Se o Passo 3 não recuperar o dispositivo com êxito, reinstale o Windows.

   1. Inicie o dispositivo a partir do suporte de dados de recuperação existente.

   2. Continue a instalar o Windows com o suporte de dados de recuperação.

   3. Inicie sessão no Windows.

   4. Reinicie o Windows para verificar se o dispositivo recomeça para o Windows.

5. Reativar o Arranque Seguro e reiniciar o dispositivo.
   
   Introduza o menu UEFI do dispositivo, navegue para as definições de Arranque Seguro e ative-o. Consulte a documentação do fabricante do dispositivo para obter informações específicas sobre este processo. Pode encontrar mais informações na secção "Reativar Arranque Seguro".

Referências

• Documentação de orientação para investigar ataques com CVE-2022-21894: A campanha BlackLotus

• Arranque Seguro

• Ativar o Arranque Seguro em dispositivos Windows inscritos

• Para eventos gerados ao aplicar atualizações DBX, veja KB5016061: Abordar Gestores de Arranque vulneráveis e revogados.