KB5025885：如何针对与 CVE-2023-24932 关联的安全启动更改管理 Windows 引导管理器吊销

本任务的内容

• 摘要

  • 采取操作

  • 影响范围

  • 了解风险

  • 已知问题

• 此版本的准则

• 缓解部署指南

• 可启动媒体

• 更新 Windows 安装媒体

• 更新时间

• 与 CVE-2023-24932 相关的 Windows 事件日志错误

• 常见问题解答 (FAQ)

• 排查启动问题

• 恢复过程

• 参考

• 更改日志

摘要

本文介绍了针对公开披露的安全启动安全功能旁路（该旁路使用了由 CVE-2023-24932 跟踪的 BlackLotus UEFI bootkit）的保护、如何启用缓解措施，以及关于可引导媒体的指导。 bootkit 是一个恶意程序，它设计成尽早在设备启动序列中加载，以便控制操作系统启动。

安全启动 由 Microsoft 建议用于通过 Windows 内核受信任启动序列从统一可扩展固件接口 (UEFI) 创建安全且受信任的路径。 安全启动有助于防止启动序列中的 bootkit 恶意软件。 禁用安全启动会导致设备面临被 bootkit 恶意软件感染的风险。 修复 CVE-2023-24932 中所述的安全启动绕过需要撤消启动管理器。 这可能会导致一些设备启动配置出现问题。

针对 CVE-2023-24932 中详述的安全启动旁路的缓解措施包含在 2024 年 4 月 9 日当天或之后发布的 Windows 安全更新中。 但在默认情况下，不启用这些缓解措施。 通过这些更新，我们建议你开始评估环境中的这些更改。 更新时机部分中介绍了完整的计划。

在启用这些缓解措施之前，应全面查看本文中的详细信息，并确定是必须启用缓解措施，还是等待 Microsoft 将来提供的更新。 如果选择启用缓解措施，则必须验证设备是否已更新并准备就绪，并了解本文中所述的风险。 

此版本的准则

对于此版本，请执行以下两个步骤。

步骤 1：安装 Windows 安全更新

在受支持的 Windows 设备上安装 2024 年 4 月 9 日当天或之后发布的 Windows 月度安全更新。 这些更新包括针对 CVE-2023-24932 的缓解措施，但默认情况下未启用。 无论是否计划部署缓解措施，所有 Windows 设备都应完成此步骤。

步骤 2：评估更改

我们建议你执行以下操作：

• 了解允许更新安全启动数据库和更新启动管理器的前两个缓解措施。

• 查看更新的计划。

• 开始针对环境中具有代表性的设备测试前两个缓解措施。

• 开始规划将于 2024 年 7 月 9 日开始的部署阶段。

步骤 3：强制实施更改

我们鼓励你了解“了解风险”部分中所述的风险。

• 了解对恢复和其他可启动媒体的影响。

• 开始测试第三个缓解措施，它会取消信任用于以前所有 Windows 启动管理器的签名证书。

缓解部署指南

在按照这些步骤应用缓解措施之前，请在受支持的 Windows 设备上安装 2024 年 4 月 9 日当天或之后发布的 Windows 月度服务更新。 此更新包括适用于 CVE-2023-24932 的缓解措施，但默认情况下未启用。 所有 Windows 设备都应完成此步骤，而不考虑是否计划启用缓解措施。

要部署更新并应用吊销，请执行以下步骤：

1. 将更新后的证书定义安装到数据库。

   此步骤会将“Windows UEFI CA 2023”证书添加到 UEFI“安全启动签名数据库”(DB)。 通过将此证书添加到数据库，设备固件将会信任由此证书签名的启动应用程序。

   1. 打开管理员命令提示符，并通过输入以下命令设置注册表项来执行对 DB 的更新：

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      重要说明 在继续执行步骤 2 和步骤 3 之前，请确保重启设备两次以完成更新安装。

   2. 以管理员身份运行以下 PowerShell 命令，并验证数据库是否已成功更新。 此命令应返回 True。

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. 更新设备上的启动管理器。

   此步骤将在设备上安装使用“Windows UEFI CA 2023”证书签名的启动管理器应用程序。

   1. 打开管理员命令提示符并设置注册表项以安装“Windows UEFI CA 2023”签名启动管理器：

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. 重启设备两次。

   3. 以管理员身份装载 EFI 分区，以做好检查准备：

      mountvol s: /s

   4. 验证“s：\efi\microsoft\boot\bootmgfw.efi”文件是否由“Windows UEFI CA 2023”证书签名。 为此，请按以下步骤操作：

      1. 单击“开始”，在“搜索”框中键入命令提示符，然后单击“命令提示符”。

      2. 在“命令提示符”窗口中，键入下列命令，然后按 Enter。

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. 在文件管理器中，右键单击文件 C:\bootmgfw_2023.efi，单击“属性”，然后选择 “数字签名” 选项卡。

      4. 在“签名”列表中，确认证书链包含 Windows UEFI 2023 CA。 证书链应与以下屏幕截图匹配：
         
         

3. 启用吊销。

   UEFI 禁止列表 (DBX) 用于阻止加载不受信任的 UEFI 模块。 在此步骤中，更新 DBX 会将“Windows 生产 CA 2011”证书添加到 DBX。 这将导致不再信任由此证书签名的所有启动管理器。

   警告：在应用第三个缓解之前，请创建可用于启动系统的恢复 U 盘。 有关如何执行此操作的信息，请参阅“更新 Windows 安装媒体”部分。

   如果系统进入不可启动状态，请按照“恢复过程”部分中的步骤将设备重置为预吊销状态。

   1. 将“Windows 生产 PCA 2011”证书添加到安全启动 UEFI 禁止列表 (DBX)。 为此，请以管理员身份打开命令提示符窗口，键入以下命令，然后按 Enter：

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. 重启设备两次，并确认设备已完全重启。

   3. 通过在事件日志中查找事件 1037，验证是否已成功应用安装和吊销列表。
      
      有关事件 1037 的信息，请参阅 KB5016061：安全启动 DB 和 DBX 变量更新事件。 或以管理员身份运行以下 PowerShell 命令，并确保它返回 True：

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

可启动媒体

在环境中开始部署阶段后，必须更新可启动媒体。 在部署阶段，将会及时提供用于更新媒体的指导和工具。 部署阶段计划于 2024 年 7 月 9 日开始。

受此问题影响的可启动媒体和恢复媒体示例：

• 使用 创建恢复驱动器创建的可启动媒体。

• 已在应用缓解措施之前制作映像的 Windows 备份。 在设备上启用吊销后，这些设置将无法直接用于还原 Windows 安装。

• 由你、设备制造商 (OEM) 或企业创建的自定义 CD/DVD 或恢复分区。

• ISO（通过下载或使用 ADK）。

• 网络启动：

  • Windows 部署服务。

  • 预启动执行环境启动服务（PXE 启动服务）。

  • Microsoft 部署工具包。

  • HTTPS 启动。

• OEM 安装和恢复媒体。

• 来自 Microsoft 的官方 Windows 媒体，包括：

  • 零售媒体。

  • 媒体创建工具（ISO 或 U 盘）。

  • VLSC。

  • Visual Studio 订阅服务器下载。

  • U 盘。

• Windows PE。

• 物理硬件或虚拟机上安装的 Windows。

• Windows 验证 OS。

如果将可启动媒体用于个人 Windows 设备，则可能需要在应用吊销之前执行以下一项或多项操作：

• 如果使用个人备份软件保存设备的内容，请务必在应用 2024 年 4 月 9 日的缓解措施后运行完整备份。

• 如果使用可启动磁盘映像 (ISO)、CD-ROM 或 DVD 媒体，请按照以后提供的说明更新媒体。

企业版

• 查看使用动态更新来更新 Windows 安装媒体的综合指南和脚本。

• 如果支持环境中的网络启动或恢复方案，则需要更新所有媒体和映像。 这可能包括以下启动或恢复选项：

  • Microsoft 部署工具包。

  • Microsoft Endpoint Configuration Manager。

  • Windows 部署服务。

  • PXE 启动。

  • HTTPS 启动和其他网络启动方案。

• 执行此操作的一种方法是在这些方案所提供的映像上使用 DISM 脱机包安装 。 这包括更新这些服务提供的启动文件。

• 如果使用备份软件将 Windows 安装的内容保存到恢复映像中，请务必在应用 2024 年 4 月 9 日缓解措施后运行完整备份。 除了 Windows 操作系统分区之外，请务必备份 EFI 磁盘分区。 清楚地标识在应用 2024 年 4 月 9 日缓解之前进行的备份，以及在应用缓解措施之后所做的备份。

Windows 电脑 OEM

• 查看使用动态更新来更新 Windows 安装媒体的综合指南和脚本。

更新 Windows 安装媒体

可以按照以下步骤使用创建恢复驱动器 应用程序。 此媒体可用于重新安装设备，如果出现硬件故障等重大问题，你将能够使用恢复驱动器重新安装 Windows。

1. 转到已应用 2024 年 4 月 9 日更新和第一个缓解步骤（更新安全启动数据库）的设备。

2. 在“开始”菜单中，搜索“创建恢复驱动器”控制面板小程序，然后按照说明创建恢复驱动器。

3. 装载新创建的闪存驱动器(例如，驱动器 "D:")后，以管理员身份运行以下命令。 键入以下每个命令，然后按 Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

如果通过使用动态更新来更新 Windows 安装媒体 指导来管理环境中的可安装媒体，请按照这些步骤操作。 这些附加步骤将创建可启动闪存驱动器，它使用由 "Windows UEFI CA 2023" 签名证书签名的启动文件。

1. 转到已应用 2024 年 4 月 9 日更新和第一个缓解步骤（更新安全启动数据库）的设备。

2. 按照以下链接中的步骤创建包含 2024 年 4 月 9 日更新的媒体。 使用动态更新来更新 Windows 安装媒体

3. 将媒体内容放置在 USB 拇指驱动器上，并将拇指驱动器装载为驱动器号。 例如，将拇指驱动器装载为“D:”。

4. 以管理员身份从命令窗口运行以下命令。 键入以下每个命令，然后按 Enter。

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

如果设备在应用缓解措施后将安全启动设置重置为默认设置，则设备将不会启动。 要解决此问题，可以使用包含在 2024 年 4 月 9 日更新中的修复应用程序将“Windows UEFI CA 2023”证书重新应用于数据库（缓解措施 #1）。

1. 转到应用了 2024 年 4 月 9 日更新的设备。

2. 在命令窗口中，使用以下命令（假定 U 盘为“D:”驱动器）将恢复应用复制到 U 盘。 分别键入每个命令，然后按 Enter：

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. 在已将安全启动设置重置为默认值的设备上，插入 U 盘，重启设备并从 U 盘启动。

更新时间

更新将按如下所示发布：

• 初始部署阶段 此阶段从 2023 年 5 月 9 日发布的更新开始，并提供了基本缓解措施以及启用这些缓解措施的手动步骤。

• 第二个部署 此阶段从 2023 年 7 月 11 日发布的更新开始，其中添加了简化的步骤，以启用问题缓解措施。

• 评估阶段 此阶段将于 2024 年 4 月 9 日开始，并将添加其他启动管理器缓解措施。

• 最终部署阶段 此时，我们将鼓励所有客户开始部署缓解措施并更新媒体。

• 强制阶段 强制实施阶段会将缓解措施设为永久性内容。 此阶段的日期将在以后公布。

注意 可以根据需要修改发布计划。

与 CVE-2023-24932 相关的 Windows 事件日志错误

KB5016061：安全启动 DB 和 DBX 变量更新事件 中详细介绍了与更新 DB 和 DBX 相关的 Windows 事件日志条目。

下表列出了与应用缓解措施相关的“成功”事件。

常见问题解答 (FAQ)

排查启动问题

应用全部三项缓解措施后，设备固件将不会使用由 Windows 生产 PCA 2011 签名的启动管理器启动。 固件报告的启动失败是特定于设备的。 请参阅“恢复过程”部分。

恢复过程

如果应用缓解措施时出现问题，并且无法启动设备，或需要从外部媒体（如拇指驱动器或 PXE 启动）启动，请尝试以下建议：

1. 禁用安全启动。
   
   此过程因设备制造商和型号而有所不同。 进入设备 UEFI BIOS 菜单并导航到“安全启动”设置并将其禁用。 有关此过程的具体信息，请查看设备制造商提供的文档。 要了解更多详细信息，请参阅禁用安全启动。

2. 将安全启动密钥重置为出厂默认值。

   如果设备支持将安全启动密钥重置为出厂默认值，请立即执行此操作。

   注释 一些设备制造商为安全启动变量同时提供了“清除”和“重置”选项，在这种情况下，应使用“重置”。 其目的是将安全启动变量切换会制造商默认值。

   设备应会立即启动，但请注意，它容易受到启动工具包恶意软件的攻击。 请确保完成此恢复过程的第 5 步，以重新启用安全启动。

3. 尝试从系统磁盘启动 Windows。

   1. 登录到 Windows。

   2. 从管理员命令提示符运行以下命令，以还原 EFI 系统启动分区中的启动文件。 分别键入每个命令，然后按 Enter：

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. 运行 BCDBoot 将返回“已成功创建启动文件”。 显示此消息后，重启设备以返回 Windows。

4. 如果步骤 3 未成功恢复设备，请重新安装 Windows。

   1. 从现有恢复媒体启动设备。

   2. 继续使用恢复媒体安装 Windows。

   3. 登录到 Windows。

   4. 重启 Windows 以验证设备是否重新启动到 Windows。

5. 重新启用安全启动并重启设备。
   
   进入设备 UEFI 菜单，导航到“安全启动”设置并将其启用。 有关此过程的具体信息，请查看设备制造商提供的文档。 有关详细信息，请参阅“重新启用安全启动”部分。

参考

• 使用 CVE-2022-21894 调查攻击的指南：BlackLotus 市场活动

• 安全启动

• 在已注册的 Windows 设备上启用安全启动

• 有关应用 DBX 更新时生成的事件，请参阅 KB5016061：解决易受攻击和已吊销的启动管理器问题。