KB5025885: Sådan administrerer du Windows Boot Manager-tilbageførsler for ændringer af sikker bootstart, der er knyttet til CVE-2023-24932

I denne artikel

• Sammendrag

  • Gør noget

  • Omfanget af indvirkningen

  • Forstå risiciene

  • Kendte problemer

• Retningslinjer for denne version

• Retningslinjer for udrulning af afhjælpning

• Medie, der kan startes fra

• Opdatering af Windows-installationsmedier

• Tidsindstilling for opdateringer

• Windows-hændelseslogfejl relateret til CVE-2023-24932

• Ofte stillede spørgsmål (ofte stillede spørgsmål)

• Fejlfinding af startproblemer

• Genoprettelsesprocedure

• Referencer

• Ændringslog

Sammendrag

I denne artikel beskrives beskyttelsen mod den offentligt tilgængelige sikkerhedsfunktion til sikker bootstart, der bruger BlackLotus UEFI-bootkit, der spores af CVE-2023-24932, hvordan du aktiverer afhjælpninger og vejledning på startmedier. En bootkit er et skadeligt program, der er udviklet til at blive indlæst så tidligt som muligt i en enheds startsekvens for at styre operativsystemets start.

Sikker bootstart anbefales af Microsoft for at oprette en sikker og pålidelig sti fra UEFI (Unified Extensible Firmware Interface) via windows-kernens pålidelige startsekvens. Sikker bootstart hjælper med at forhindre bootkitmalware i startsekvensen. Hvis du deaktiverer Sikker bootstart, risikerer du at blive inficeret med bootkitmalware. Rettelse af tilsidesættelse af sikker bootstart, der er beskrevet i CVE-2023-24932, kræver, at bootadministratorer tilbagekaldes. Dette kan medføre problemer for nogle konfigurationer af enhedsstart.

Afhjælpning af secure boot-tilsidesættelse, der er beskrevet i CVE-2023-24932 , er inkluderet i de Windows-sikkerhedsopdateringer, der blev udgivet den 9. juli 2024 eller derefter. Disse afhjælpninger er dog ikke aktiveret som standard. Med disse opdateringer anbefaler vi, at du begynder at evaluere disse ændringer i dit miljø. Den komplette tidsplan er beskrevet i afsnittet Tidsindstillinger for opdateringer .

Før du aktiverer disse afhjælpninger, skal du gennemgå oplysningerne i denne artikel grundigt og afgøre, om du skal aktivere afhjælpningen eller vente på en fremtidig opdatering fra Microsoft. Hvis du vælger at aktivere afhjælpningerne, skal du kontrollere, at dine enheder er opdateret og klar, og forstå de risici, der er beskrevet i denne artikel. 

Retningslinjer for denne version

I denne version skal du følge disse to trin.

Trin 1: Installér Windows-sikkerhedsopdateringen

Installér den månedlige Windows-sikkerhedsopdatering, der er udgivet den 9. juli 2024 eller derefter, på understøttede Windows-enheder. Disse opdateringer omfatter afhjælpninger for CVE-2023-24932, men er ikke aktiveret som standard. Alle Windows-enheder skal udføre dette trin, uanset om du planlægger at installere afhjælpningerne eller ej.

Trin 2: Evaluer ændringerne

Vi opfordrer dig til at gøre følgende:

• Forstå de første to afhjælpninger, der tillader opdatering af Secure Boot DB og opdatering af Boot Manager.

• Gennemse den opdaterede tidsplan.

• Begynd at teste de første to afhjælpninger mod repræsentative enheder fra dit miljø.

• Begynd planlægning af installationen.

Trin 3: Gennemtving ændringerne

Vi opfordrer dig til at forstå de risici, der er angivet i afsnittet Om risici.

• Forstå virkningen på genoprettelsen og andre medier, der kan startes fra.

• Begynd at teste den tredje afhjælpning, der ikke har tillid til det signeringscertifikat, der bruges til alle tidligere Windows-startadministratorer.

Retningslinjer for udrulning af afhjælpning

Før du følger disse trin for at anvende afhjælpningerne, skal du installere den månedlige Windows-serviceopdatering, der er udgivet den 9. juli 2024 eller derefter, på understøttede Windows-enheder. Denne opdatering indeholder afhjælpninger for CVE-2023-24932, men de er ikke aktiveret som standard. Alle Windows-enheder skal udføre dette trin, uanset din plan for at aktivere afhjælpningerne.

Hvis du vil installere opdateringen og anvende tilbageførslerne, skal du følge disse trin:

1. Installér de opdaterede certifikatdefinitioner til DB.

   Dette trin føjer certifikatet "Windows UEFI CA 2023" til UEFI "Secure Boot Signature Database" (DB). Ved at føje dette certifikat til DB har enhedens firmware tillid til startprogrammer, der er signeret af dette certifikat.

   1. Åbn en administratorkommandoprompt, og angiv registreringsdatabasenøglen for at udføre opdateringen til DB ved at angive følgende kommando:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      VIGTIG Sørg for at genstarte enheden to gange for at fuldføre installationen af opdateringen, før du fortsætter til trin 2 og 3.

   2. Kør følgende PowerShell-kommando som administrator, og kontrollér, at DB'en er blevet opdateret. Denne kommando bør returnere Sand.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Opdater Boot Manager på din enhed.

   Dette trin vil installere et boot manager-program på din enhed, som er signeret med certifikatet "'Windows UEFI CA 2023".

   1. Åbn en administratorkommandoprompt, og angiv registreringsdatabasenøglen for at installere den "'Windows UEFI CA 2023"-signerede boot manager:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Genstart enheden to gange.

   3. Som administrator skal du tilslutte EFI-partitionen for at gøre den klar til inspektion:

      mountvol s: /s

   4. Valider, at filen "s:\efi\microsoft\boot\bootmgfw.efi" er signeret af certifikatet "Windows UEFI CA 2023". Det kan du gøre, ved at følge disse trin:

      1. Klik på Start, skriv kommandoprompt i feltet Søg , og klik derefter på Kommandoprompt.

      2. Skriv følgende kommando i kommandolinjen , og tryk derefter på Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. Højreklik på filen C:\bootmgfw_2023.efi i Filstyring, klik på Egenskaber, og vælg derefter fanen Digitale signaturer .

      4. På listen Signatur skal du bekræfte, at certifikatkæden indeholder Windows UEFI CA 2023. Certifikatkæden skal svare til følgende skærmbillede:
         
         

3. Aktivér tilbagekaldelsen.

   Den forbudte UEFI-liste (DBX) bruges til at blokere UEFI-moduler, der ikke er tillid til, i at blive indlæst. I dette trin tilføjer opdatering af DBX certifikatet "Windows Production CA 2011" til DBX. Dette medfører, at der ikke længere er tillid til alle bootadministratorer, der er signeret af dette certifikat.

   ADVARSEL: Før du anvender den tredje afhjælpning, skal du oprette et flashdrev til genoprettelse, der kan bruges til at starte systemet. Du kan få mere at vide om, hvordan du gør dette, i afsnittet Opdatering af Windows-installationsmedier.

   Hvis systemet kommer i en tilstand, der ikke kan startes fra, skal du følge trinnene i afsnittet Genoprettelsesprocedure for at nulstille enheden til en tilstand, hvor enheden er tilbagekaldt.

   1. Føj certifikatet "Windows Production PCA 2011" til dbx (Secure Boot UEFI Forbidden List). Det gør du ved at åbne en kommandoprompt som administrator, skrive følgende kommando og derefter trykke på Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Genstart enheden to gange , og bekræft, at den er genstartet helt.

   3. Kontrollér, at installationen og listen over tilbagekaldte blev anvendt korrekt, ved at søge efter hændelse 1037 i hændelsesloggen.
      
      Du kan finde oplysninger om hændelse 1037 i KB5016061: Opdateringshændelser for sikker bootstart DB og variable DBX-hændelser. Eller kør følgende PowerShell-kommando som administrator, og sørg for, at den returnerer Sand:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011' 

4. Anvend SVN-opdateringen på firmwaren.
   
   Boot Manager, der er installeret i trin 2, har en ny indbygget funktion til tilbagekald. Når Boot Manager starter med at køre, udføres en selvkontrol ved at sammenligne det sikre versionsnummer (SVN), der er gemt i firmwaren, med det SVN, der er indbygget i Boot Manager. Hvis Boot Manager SVN er lavere end det SVN, der er gemt i firmwaren, nægter Boot Manager at køre. Denne funktion forhindrer en hacker i at annullere Boot Manager til en ældre, ikke-opdateret version.
   
   I fremtidige opdateringer, når et større sikkerhedsproblem er rettet i Boot Manager, vil SVN-nummeret blive forøget i både Boot Manager og opdateringen til firmwaren. Begge opdateringer frigives i den samme samlede opdatering for at sikre, at reparerede enheder er beskyttet. Hver gang SVN opdateres, skal alle startmedier opdateres.
   
   Fra og med opdateringerne d. 9. juli 2024 øges SVN i Boot Manager og opdateringen til firmwaren. Firmwareopdateringen er valgfri og kan anvendes ved at følge disse trin:

   1. Åbn en administratorkommandoprompt, og kør følgende kommando for at installere den "'Windows UEFI CA 2023"-signerede startstyring:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. Genstart enheden to gange.

Medie, der kan startes fra

Det er vigtigt at opdatere startmedier, når installationsfasen starter i dit miljø.

Vejledning til opdatering af startmedier kommer med fremtidige opdateringer til denne artikel. Se næste afsnit for at oprette et USB-usb-usb-drev til genoprettelse af en enhed.

Opdatering af Windows-installationsmedier

Du kan bruge programmet Create Recovery Drive ved at følge disse trin. Dette medie kan bruges til at geninstallere en enhed, hvis der er et større problem, f.eks. en hardwarefejl, du vil kunne bruge genoprettelsesdrevet til at geninstallere Windows.

1. Gå til en enhed, hvor 9. juli 2024-opdateringerne og det første afhjælpningstrin (opdatering af Secure Boot DB) er blevet anvendt.

2. I menuen Start skal du søge efter appletten "Create a Recovery Drive" i kontrolpanelet og følge vejledningen for at oprette et genoprettelsesdrev.

3. Med det nyoprettede flashdrev tilsluttet (f.eks. som drev "D:"), skal du køre følgende kommandoer som administrator. Skriv hver af følgende kommandoer, og tryk derefter på Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Hvis du administrerer installerbare medier i dit miljø ved hjælp af Update Windows-installationsmediet med vejledning til Dynamisk opdatering , skal du følge disse trin. Disse yderligere trin opretter et flashdrev, der kan startes fra, og som bruger startfiler, der er signeret af signeringscertifikatet "Windows UEFI CA 2023".

1. Gå til en enhed, hvor opdateringen fra 9. juli 2024 og det første afhjælpningstrin (opdatering af Secure Boot DB) er blevet anvendt.

2. Følg trinnene i linket nedenfor for at oprette medier med opdateringerne d. 9. juli 2024. Opdater Windows-installationsmedier med Dynamisk opdatering

3. Placer indholdet af mediet på et USB-usb-drev, og tilslut usb-drevet som et drevbogstav. Du kan f.eks. tilslutte usb-drevet som "D:".

4. Kør følgende kommandoer fra et kommandovindue som administrator. Skriv hver af følgende kommandoer, og tryk derefter på Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Hvis en enhed har nulstillet indstillingerne for sikker bootstart til standardindstillingerne efter anvendelse af afhjælpningerne, starter enheden ikke. For at løse dette problem er et reparationsprogram inkluderet i opdateringerne fra d. 9. juli 2024, der kan bruges til at genanvende certifikatet "Windows UEFI CA 2023" på DB (mitigation #1).

1. Gå til en enhed, hvor opdateringerne fra 9. juli 2024 er blevet anvendt.

2. Kopiér genoprettelsesappen til flashdrevet i et kommandovindue ved hjælp af følgende kommandoer (hvis flashdrevet er drevet "D:"). Skriv hver kommando separat, og tryk derefter på Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. På den enhed, hvor indstillingerne for sikker bootstart er nulstillet til standardindstillingerne, skal du indsætte flashdrevet, genstarte enheden og starte fra flashdrevet.

Tidsindstilling for opdateringer

Opdateringer frigives på følgende måde:

• Indledende installation Denne fase startede med opdateringer, der blev udgivet d. 9. maj 2023, og gav grundlæggende afhjælpninger med manuelle trin til at aktivere disse afhjælpninger.

• Anden installation Denne fase startede med opdateringer, der blev udgivet d. 11. juli 2023, og som tilføjede forenklede trin for at aktivere afhjælpning af problemet.

• Evalueringsfase Denne fase starter den 9. april 2024 og tilføjer yderligere afhjælpninger af bootstyring.

• Installationsfase Det er på dette tidspunkt, at vi opfordrer alle kunder til at begynde at udrulle afhjælpninger og opdatere medier.

• Håndhævelsesfase Håndhævelsesfasen, der gør afhjælpningerne permanente. Datoen for denne fase meddeles på et senere tidspunkt.

Bemærk! Udgivelsesplanen kan revideres efter behov.

Windows-hændelseslogfejl relateret til CVE-2023-24932

De Poster i Windows-hændelsesloggen, der er relateret til opdatering af DB og DBX, beskrives detaljeret i KB5016061: Hændelser for sikker bootstart DB og dbx-variable opdateringshændelser.

De "vellykkede" hændelser, der er relateret til anvendelse af afhjælpningerne, er angivet i følgende tabel.

Ofte stillede spørgsmål (ofte stillede spørgsmål)

Fejlfinding af startproblemer

Når alle tre afhjælpninger er blevet anvendt, starter enhedens firmware ikke ved hjælp af en boot manager, der er signeret af Windows Production PCA 2011. De startfejl, der rapporteres af firmware, er enhedsspecifikke. Se afsnittet Genoprettelsesprocedure .

Genoprettelsesprocedure

Hvis noget går galt under anvendelse af afhjælpningerne, og du ikke kan starte enheden, eller du har brug for at starte fra eksterne medier (f.eks. et usb-drev eller en PXE-start), kan du prøve følgende forslag:

1. Slå Sikker bootstart fra.
   
   Denne fremgangsmåde er forskellig fra enhedsproducent til model. Angiv UEFI BIOS-menuen på dine enheder, og gå til indstillingerne for sikker bootstart, og slå den fra. Se dokumentationen fra enhedsproducenten for at få mere at vide om denne proces. Du kan finde flere oplysninger i Deaktivere sikker bootstart.

2. Nulstil nøgler til sikker bootstart til fabriksindstillingerne.

   Hvis enheden understøtter nulstilling af nøglerne til sikker bootstart til fabriksindstillingerne, skal du udføre denne handling nu.

   SEDDEL Nogle enhedsproducenter har både indstillingen "Ryd" og "Nulstil" for variabler for sikker bootstart. I så fald skal "Nulstil" bruges. Målet er at sætte variablerne for sikker bootstart tilbage til producenternes standardværdier.

   Din enhed bør starte nu, men bemærk, at den er sårbar over for boot-kit-malware. Sørg for at fuldføre trin 5 i denne genoprettelsesproces for at genaktivere sikker bootstart.

3. Prøv at starte Windows fra systemdisken.

   1. Log på Windows.

   2. Kør følgende kommandoer fra en administratorkommandoprompt for at gendanne startfilerne i EFI-systemstartpartitionen. Skriv hver kommando separat, og tryk derefter på Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Hvis du kører BCDBoot, returneres "Startfiler blev oprettet". Når denne meddelelse vises, skal du genstarte enheden tilbage til Windows.

4. Hvis trin 3 ikke genopretter enheden, skal du geninstallere Windows.

   1. Start enheden fra eksisterende genoprettelsesmedier.

   2. Fortsæt med at installere Windows ved hjælp af genoprettelsesmediet.

   3. Log på Windows.

   4. Genstart Windows for at bekræfte, at enheden starter tilbage til Windows.

5. Genaktiver sikker bootstart, og genstart enheden.
   
   Gå til enhedens UEFI-menu, og gå til indstillingerne for sikker bootstart, og slå den til. Se dokumentationen fra enhedsproducenten for at få mere at vide om denne proces. Du kan finde flere oplysninger i afsnittet "Genaktiver sikker bootstart".

Referencer

• Vejledning til undersøgelse af angreb ved hjælp af CVE-2022-21894: BlackLotus-kampagnen

• Sikker bootstart

• Aktivér sikker bootstart på tilmeldte Windows-enheder

• For hændelser, der genereres ved anvendelse af DBX-opdateringer, skal du se KB5016061: Håndtering af sårbare og tilbagekaldte bootadministratorer.