KB5025885: Як керувати відкликаннями Диспетчера завантаження Windows для безпечного завантаження змін, пов'язаних із CVE-2023-24932

У цій статті

• Зведення

  • Вжити заходів

  • Область впливу

  • Розуміння ризиків

  • Відомі проблеми

• Рекомендації з цього випуску

• Рекомендації з розгортання засобу послаблення ризиків

• Завантажувальний носій

• Оновлення носія для інсталяції Windows

• Хронометраж оновлень

• Помилки журналу подій Windows, пов'язані з CVE-2023-24932

• Запитання й відповіді (запитання й відповіді)

• Виправлення неполадок із завантаженням

• Процедура відновлення

• Посилання

• Журнал змін

Зведення

У цій статті описано захист від загальнодоступного обходу функції безпеки безпечного завантаження, який використовує bootkit BlackLotus UEFI, відстежений CVE-2023-24932, як увімкнути засоби захисту та вказівки щодо завантажувальних носіїв. Bootkit – це зловмисна програма, яка запускається якомога раніше в послідовності завантаження пристроїв для керування запуском операційної системи.

Корпорація Майкрософт рекомендує безпечне завантаження, щоб зробити безпечний і надійний шлях з інтерфейсу уніфікованого розширюваного мікропрограми (UEFI) через послідовність надійного завантаження ядра Windows. Безпечне завантаження допомагає запобігти запуску зловмисних програм у послідовності завантаження. Вимкнення безпечного завантаження ставить пристрій під загрозу зараження зловмисною програмою bootkit. Для виправлення обходу безпечного завантаження, описаного в CVE-2023-24932, потрібно відкликати диспетчери завантаження. Це може спричинити проблеми з деякими конфігураціями завантаження пристрою.

Засоби захисту від обходу безпечного завантаження, описані в CVE-2023-24932 , входять до оновлень системи безпеки Windows, випущених 9 квітня 2024 р. або пізніше. Однак ці засоби послаблення ризиків не ввімкнуто за промовчанням. З цими оновленнями радимо почати оцінювати ці зміни у своєму середовищі. Повний розклад описано в розділі Хронометраж оновлень .

Перш ніж активувати ці засоби захисту, слід ретельно ознайомитися з відомостями в цій статті та визначити, чи потрібно активувати засоби послаблення ризиків або зачекати на майбутнє оновлення від корпорації Майкрософт. Якщо ви вирішите ввімкнути послаблення ризиків, переконайтеся, що пристрої оновлено та готові, а також зрозуміти ризики, описані в цій статті. 

Рекомендації з цього випуску

Для цього випуску виконайте ці два кроки.

Крок 1. Інсталяція оновлення

системи безпеки Windows Інсталюйте щомісячне оновлення системи безпеки Windows, випущене 9 квітня 2024 р. або пізніше, на підтримувані пристрої Windows. Ці оновлення містять послаблення ризиків для CVE-2023-24932, але не ввімкнуто за замовчуванням. Усі пристрої Windows мають виконати цей крок незалежно від того, чи плануєте ви розгорнути засоби послаблення ризиків.

Крок 2. Обчислення змін

Рекомендуємо виконати такі дії:

• Ознайомтеся з першими двома ризиками, які дають змогу оновити базу даних безпечного завантаження та оновити диспетчер завантаження.

• Перегляньте оновлений розклад.

• Розпочніть перевірку перших двох заходів захисту від репрезентативних пристроїв із середовища.

• Розпочніть планування етапу розгортання 9 липня 2024 року.

Крок 3. Застосування змін

Рекомендуємо вам зрозуміти ризики, наведені в розділі Розуміння ризиків.

• Зрозумійте вплив на відновлення та інші завантажувальні носії.

• Почніть перевірку третього зниження ризику, яке ненадійне сертифікатом підпису, який використовувався для всіх попередніх диспетчерів завантаження Windows.

Рекомендації з розгортання засобу послаблення ризиків

Перш ніж виконати ці кроки для застосування заходів зниження ризику, інсталюйте щомісячне оновлення обслуговування Windows, випущене 9 квітня 2024 р. або пізніше, на підтримуваних пристроях Windows. Це оновлення містить послаблення ризиків для CVE-2023-24932, але вони не ввімкнуто за замовчуванням. Усі пристрої Windows мають виконати цей крок незалежно від вашого плану, щоб увімкнути засоби послаблення ризиків.

Щоб розгорнути оновлення та застосувати відкликання, виконайте такі дії:

1. Інсталюйте оновлені визначення сертифікатів до бази даних.

   Цей крок додасть сертифікат "Windows UEFI CA 2023" до бази даних UEFI "Захищений завантажувальний підпис бази даних" (DB). Додавши цей сертифікат до бази даних, мікропрограма пристрою довірятиме програмам завантаження, підписаним цим сертифікатом.

   1. Відкрийте командний рядок адміністратора та встановіть ключ реєстру для виконання оновлення до бази даних, ввівши таку команду:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      ВАЖЛИВО Обов'язково перезавантажте пристрій два рази, щоб завершити інсталяцію оновлення, перш ніж перейти до кроків 2 та 3.

   2. Виконайте наведену нижче команду PowerShell як адміністратор і переконайтеся, що базу даних успішно оновлено. Ця команда має повернути значення True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Оновіть диспетчер завантаження на своєму пристрої.

   Цей крок інсталює на пристрій програму диспетчера завантаження, підписану сертифікатом "Windows UEFI CA 2023".

   1. Відкрийте командний рядок адміністратора та встановіть ключ реєстру для інсталяції диспетчера завантаження "'Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Перезавантажте пристрій два рази.

   3. Як адміністратор, змонтуйте розділ EFI, щоб підготувати його до перевірки:

      mountvol s: /s

   4. Переконайтеся, що файл "s:\efi\microsoft\boot\bootmgfw.efi" підписано сертифікатом "Windows UEFI CA 2023". Для цього виконайте такі дії:

      1. Натисніть кнопку Пуск, у полі Пошук введіть командний рядок і натисніть кнопку Командний рядок.

      2. У вікні Командний рядок введіть таку команду та натисніть клавішу Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. У Диспетчері файлів клацніть правою кнопкою миші файл C:\bootmgfw_2023.efi, виберіть пункт Властивості, а потім перейдіть на вкладку Цифрові підписи .

      4. У списку Підпис переконайтеся, що ланцюжок сертифікатів включає Windows UEFI CA 2023. Ланцюжок сертифікатів має відповідати такому знімку екрана:
         
         

3. Увімкнути відкликання.

   Заборонений список UEFI (DBX) використовується для блокування завантаження ненадійних модулів UEFI. На цьому кроці оновлення DBX додасть сертифікат "Windows Production CA 2011" до DBX. Це призведе до того, що всі диспетчери завантаження, підписані цим сертифікатом, більше не вважатимуться надійними.

   УВАГА! Перш ніж застосовувати третє зниження ризику, створіть флеш-пам'ять для відновлення, яку можна використовувати для завантаження системи. Відомості про те, як це зробити, див. в розділі Оновлення носія для інсталяції Windows.

   Якщо система переходить у незавантажуваний стан, виконайте кроки, описані в розділі Процедура відновлення, щоб скинути пристрій до стану попереднього виклику.

   1. Додайте сертифікат "Windows Production PCA 2011" до списку заборонених UEFI безпечного завантаження (DBX). Для цього відкрийте вікно командного рядка з правами адміністратора, введіть таку команду, а потім натисніть клавішу Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Перезавантажте пристрій два рази та переконайтеся, що його повністю перезавантажено.

   3. Переконайтеся, що список інсталяції та відкликання успішно застосовано, шукаючи подію 1037 у журналі подій.
      
      Відомості про подію 1037 див. в статті KB5016061: події оновлення змінних DB для безпечного завантаження та змінних DBX. Або виконайте таку команду PowerShell як адміністратор і переконайтеся, що вона повертає значення True:

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

Завантажувальний носій

Після початку етапу розгортання в середовищі важливо оновити завантажувальний носій. Рекомендації та інструменти для оновлення медіавмісту будуть надані вчасно для етапу розгортання. Етап розгортання заплановано на 9 липня 2024 року.

Приклади завантажувального носія та носія для відновлення, на який впливає ця проблема:

• Завантажувальний носій, створений за допомогою команди "Створити диск відновлення".

• Резервні копії Windows, які були зображені до застосування заходів послаблення ризиків. Після того, як на вашому пристрої буде активовано відкликання, їх не можна буде відновити безпосередньо для відновлення інсталяції Windows.

• Настроюваний розділ cd/DVD або розділ відновлення, створений вами, виробником пристрою (OEM) або підприємствами.

• ISO (за допомогою завантаження або за допомогою ADK).

• Завантаження мережі:

  • Служби розгортання Windows.

  • Служби завантаження середовища попереднього виконання (служби завантаження PXE).

  • Microsoft Deployment Toolkit.

  • Завантаження HTTPS.

• Інсталяційний носій і носій для відновлення оригінального обладнання.

• Офіційні медіафайли Windows від корпорації Майкрософт, зокрема:

  • Роздрібні засоби масової інформації.

  • Засіб створення носіїв (ISO або USB-носій).

  • VLSC.

  • Завантаження передплатників Visual Studio.

  • USB-носій.

• Windows PE.

• Windows, інстальована на фізичному обладнанні або віртуальних машинах.

• ОС перевірки Windows.

Якщо ви використовуєте завантажувальний носій з особистим пристроєм Windows, можливо, перед застосуванням відкликаних повідомлень знадобиться виконати одну або кілька з наведених нижче дій.

• Якщо ви використовуєте програмне забезпечення для особистого резервного копіювання для збереження вмісту пристрою, не забудьте запустити повну резервну копію після застосування заходів послаблення ризиків від 9 квітня 2024 року.

• Якщо використовується завантажувальний образ диска (ISO), компакт-диск або DVD-диск, оновіть носій, виконавши вказівки, які буде надано пізніше.

Enterprise

• Перегляньте вичерпні рекомендації та сценарії для оновлення інсталяційного носія Windows за допомогою динамічного оновлення.

• Якщо ви підтримуєте сценарії завантаження мережі або відновлення в середовищі, вам потрібно буде оновити всі носії та зображення. Це можуть бути такі варіанти завантаження або відновлення:

  • Microsoft Deployment Toolkit.

  • Microsoft Endpoint Configuration Manager.

  • Служби розгортання Windows.

  • Завантаження PxE.

  • Завантаження HTTPS та інші сценарії завантаження мережі.

• Один зі способів зробити це – скористатися автономною інсталяцією пакета DISM на зображеннях, які обслуговуються цими сценаріями. Це стосується оновлення файлів завантаження, які пропонуються цими службами.

• Якщо ви використовуєте програмне забезпечення для резервного копіювання, щоб зберегти вміст інсталяції Windows у образ для відновлення, не забудьте запустити повну резервну копію після застосування заходів послаблення ризиків від 9 квітня 2024 року. Обов'язково створіть резервну копію розділу диска EFI на додачу до розділу операційної системи Windows. Чітко визначте резервні копії, зроблені перед застосуванням заходів послаблення ризиків від 9 квітня 2024 року та зроблених після застосування заходів зниження ризику.

Виробники оригінального обладнання для ПК з Windows

• Перегляньте вичерпні рекомендації та сценарії для оновлення інсталяційного носія Windows за допомогою динамічного оновлення.

Оновлення носія для інсталяції Windows

Щоб скористатися програмою Create Recovery Drive , виконайте наведені нижче дії. Цей носій можна використовувати для повторної інсталяції пристрою на випадок, якщо виникла серйозна проблема, наприклад неполадка обладнання, ви зможете повторно інсталювати Windows за допомогою диска відновлення.

1. Перейдіть на пристрій, де було застосовано оновлення від 9 квітня 2024 року та перший крок зниження ризику (оновлення бази даних безпечного завантаження).

2. У меню "Пуск" знайдіть аплет панелі керування "Create a Recovery Drive" і дотримуйтеся вказівок, щоб створити диск відновлення.

3. Щойно створений флеш-пам'ять установлено (наприклад, як диск "D:"), виконайте наведені нижче команди з правами адміністратора. Введіть кожну з наведених нижче команд і натисніть клавішу Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Якщо ви керуєте інсталяційним медіавмістом у своєму середовищі за допомогою інсталяційного носія Оновлення Windows із рекомендаціями з динамічного оновлення , виконайте наведені нижче дії. Ці додаткові кроки допоможуть створити завантажувальний флеш-диск, який використовує файли завантаження, підписані сертифікатом підпису "Windows UEFI CA 2023".

1. Перейдіть на пристрій, на якому було застосовано оновлення від 9 квітня 2024 року та перший крок послаблення ризиків (оновлення бази даних безпечного завантаження).

2. Дотримуйтеся вказівок за посиланням нижче, щоб створити медіавміст з оновленнями від 9 квітня 2024 року. Оновлення інсталяційного носія Windows за допомогою динамічного оновлення

3. Розмістіть вміст носія на флеш-накопичувачі USB і змонтуйте флеш-пам'ятку як букву диска. Наприклад, змонтуйте флеш-диск як "D:".

4. Виконайте наведені нижче команди з командного вікна з правами адміністратора. Введіть кожну з наведених нижче команд і натисніть клавішу Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Якщо після застосування заходів захисту пристрій скинув настройки безпечного завантаження до значень за замовчуванням, пристрій не завантажиться. Щоб вирішити цю проблему, програма відновлення входить до складу оновлення від 9 квітня 2024 р., які можна використовувати для повторного застосування сертифіката "Windows UEFI CA 2023" до бази даних (зниження ризиків #1).

1. Перейдіть на пристрій, на якому застосовано оновлення від 9 квітня 2024 року.

2. У командному вікні скопіюйте програму відновлення на флеш-пам'ять за допомогою наведених нижче команд (якщо флеш-пам'ять – це диск "D:"). Введіть кожну команду окремо, а потім натисніть клавішу Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. На пристрої з настройками безпечного завантаження відновіть початковий стан за замовчуванням, вставте флеш-пам'ять, перезавантажте пристрій і завантажте його зі флеш-пам'яті.

Хронометраж оновлень

Оновлення випускаються в такий спосіб:

• Початкове розгортання Цей етап почався з оновлень, випущених 9 травня 2023 року, і забезпечив основні заходи з усунення ризиків вручну, щоб увімкнути ці заходи.

• Друге розгортання Цей етап почався з оновлень, випущених 11 липня 2023 року, які додали спрощені кроки, щоб увімкнути послаблення ризиків для цієї проблеми.

• Етап оцінювання Цей етап розпочнеться 9 квітня 2024 року та додасть додаткові засоби послаблення ризиків диспетчера завантаження.

• Етап остаточного розгортання Це коли ми заохочуватимемо всіх клієнтів почати розгортання заходів послаблення ризиків і оновлення медіавмісту.

• Етап примусового застосування Етап примусового застосування, який зробить пом'якшення постійними. Дата цього етапу буде оголошена пізніше.

Нотатка Розклад випуску може бути змінений за потреби.

Помилки журналу подій Windows, пов'язані з CVE-2023-24932

Записи журналу подій Windows, пов'язані з оновленням DB і DBX, докладно описано в KB5016061: події оновлення змінних DB для безпечного завантаження та DBX.

Події успіху, пов'язані із застосуванням заходів зниження ризику, перелічено в таблиці нижче.

Запитання й відповіді (запитання й відповіді)

Виправлення неполадок із завантаженням

Після застосування всіх трьох заходів зниження ризику мікропрограма пристрою не завантажиться за допомогою диспетчера завантаження, підписаного PCA Windows Production 2011. Помилки завантаження, про які повідомляє мікропрограма, стосуються конкретних пристроїв. Див. розділ Процедура відновлення .

Процедура відновлення

Якщо під час застосування заходів зниження ризику сталася помилка, але не вдалося запустити пристрій або потрібно почати роботу із зовнішнього носія (наприклад, флеш-накопичувача або завантаження PXE), спробуйте виконати наведені нижче дії.

1. Вимкніть безпечне завантаження.
   
   Ця процедура відрізняється між виробниками пристроїв і моделями. Введіть у меню UEFI BIOS свої пристрої та перейдіть до настройок безпечного завантаження та вимкніть його. Перегляньте документацію від виробника пристрою, щоб дізнатися про особливості цього процесу. Докладні відомості див. в статті Вимкнення безпечного завантаження.

2. Скидання ключів безпечного завантаження до заводських значень за замовчуванням.

   Якщо пристрій підтримує скидання ключів безпечного завантаження до заводських настройок, виконайте цю дію зараз.

   ПРИМІТКА Деякі виробники пристроїв мають параметр "Очистити" та "Скинути" для змінних безпечного завантаження, у цьому випадку слід використовувати "Скинути". Мета полягає в тому, щоб повернути змінні безпечного завантаження до стандартних значень виробників.

   Пристрій має запуститися зараз, але зверніть увагу, що він вразливий до шкідливого програмного забезпечення для завантаження. Обов'язково виконайте крок 5 цього процесу відновлення, щоб повторно ввімкнути безпечне завантаження.

3. Спробуйте запустити Windows із системного диска.

   1. Увійдіть у Windows.

   2. Виконайте наведені нижче команди з командного рядка адміністратора, щоб відновити завантажувальні файли в розділі завантаження системи EFI. Введіть кожну команду окремо, а потім натисніть клавішу Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Виконання BCDBoot повертає фразу "Boot files successfully created" (Успішно створено файли завантаження). Коли це повідомлення з'явиться, перезавантажте пристрій знову у Windows.

4. Якщо крок 3 не відновлює пристрій, повторно інсталюйте Windows.

   1. Запустіть пристрій із наявного носія для відновлення.

   2. Приступайте до інсталяції Windows за допомогою носія для відновлення.

   3. Увійдіть у Windows.

   4. Перезавантажте Windows, щоб переконатися, що пристрій знову запускається у Windows.

5. Знову ввімкніть безпечне завантаження та перезавантажте пристрій.
   
   Введіть меню UEFI пристрою, перейдіть до настройок безпечного завантаження та ввімкніть його. Перегляньте документацію від виробника пристрою, щоб дізнатися про особливості цього процесу. Докладні відомості див. в розділі "Повторне ввімкнення безпечного завантаження".

Посилання

• Рекомендації з розслідування атак за допомогою CVE-2022-21894: кампанія BlackLotus

• Безпечне завантаження

• Увімкнути безпечне завантаження на зареєстрованих пристроях Windows

• Відомості про події, які створюються під час застосування оновлень DBX, див. в статті KB5016061: Вирішення вразливих і відкликаних диспетчерів завантаження.