KB5025885: Πώς μπορείτε να διαχειριστείτε τις ανακλήσεις της Διαχείρισης εκκίνησης των Windows για αλλαγές ασφαλούς εκκίνησης που σχετίζονται με το CVE-2023-24932

Σε αυτό το άρθρο

• Σύνοψη

  • Ανάληψη δράσης

  • Πεδίο εφαρμογής επιπτώσεων

  • Κατανόηση των κινδύνων

  • Γνωστά προβλήματα

• Οδηγίες για αυτήν την έκδοση

• Οδηγίες ανάπτυξης μετριασμού

• Πολυμέσα με δυνατότητα εκκίνησης

• Ενημέρωση μέσου εγκατάστασης των Windows

• Χρονισμός ενημερώσεων

• Σφάλματα αρχείου καταγραφής συμβάντων των Windows που σχετίζονται με το CVE-2023-24932

• Συνήθεις ερωτήσεις (Συνήθεις ερωτήσεις)

• Αντιμετώπιση προβλημάτων εκκίνησης

• Διαδικασία αποκατάστασης

• Αναφορές

• Αλλαγή αρχείου καταγραφής

Σύνοψη

Αυτό το άρθρο περιγράφει την προστασία από την παράκαμψη δυνατοτήτων ασφαλείας Ασφαλούς εκκίνησης που γνωστοποιείται δημόσια και χρησιμοποιεί το bootkit BlackLotus UEFI που παρακολουθείται από το CVE-2023-24932, τον τρόπο ενεργοποίησης των μετριασμάτων και τις οδηγίες για μέσα με δυνατότητα εκκίνησης. Το bootkit είναι ένα κακόβουλο πρόγραμμα που έχει σχεδιαστεί για φόρτωση όσο το δυνατόν νωρίτερα σε μια ακολουθία εκκίνησης συσκευών για τον έλεγχο της εκκίνησης του λειτουργικού συστήματος.

Η Ασφαλής εκκίνηση συνιστάται από τη Microsoft να κάνει μια ασφαλή και αξιόπιστη διαδρομή από την Ενοποιημένη επεκτάσιμη διασύνδεση υλικολογισμικού (UEFI) μέσω της ακολουθίας Αξιόπιστης εκκίνησης πυρήνα των Windows. Η Ασφαλής εκκίνηση βοηθά στην αποτροπή λογισμικού κακόβουλης λειτουργίας bootkit στη σειρά εκκίνησης. Η απενεργοποίηση της Ασφαλούς εκκίνησης θέτει μια συσκευή σε κίνδυνο να μολυνθεί από λογισμικό κακόβουλης λειτουργίας bootkit. Η επιδιόρθωση της παράκαμψης Ασφαλούς εκκίνησης που περιγράφεται στο CVE-2023-24932 απαιτεί την ανάκληση των διαχειριστών εκκίνησης. Αυτό θα μπορούσε να προκαλέσει προβλήματα για ορισμένες ρυθμίσεις παραμέτρων εκκίνησης συσκευών.

Οι μετριασμούς κατά της παράκαμψης Ασφαλούς εκκίνησης που περιγράφονται λεπτομερώς στο CVE-2023-24932 περιλαμβάνονται στις ενημερώσεις ασφαλείας των Windows που κυκλοφόρησαν στις ή μετά τις 9 Ιουλίου 2024. Ωστόσο, αυτοί οι μετριασμούς δεν είναι ενεργοποιημένος από προεπιλογή. Με αυτές τις ενημερώσεις, συνιστάται να ξεκινήσετε την αξιολόγηση αυτών των αλλαγών στο περιβάλλον σας. Το πλήρες χρονοδιάγραμμα περιγράφεται στην ενότητα Χρονισμός ενημερώσεων .

Πριν ενεργοποιήσετε αυτούς τους μετριασμούς, θα πρέπει να εξετάσετε διεξοδικά τις λεπτομέρειες σε αυτό το άρθρο και να προσδιορίσετε αν πρέπει να ενεργοποιήσετε τους μετριασμούς ή να περιμένετε μια μελλοντική ενημέρωση από τη Microsoft. Εάν επιλέξετε να ενεργοποιήσετε τους μετριασμούς, πρέπει να επαληθεύσετε ότι οι συσκευές σας είναι ενημερωμένες και έτοιμες, καθώς και να κατανοήσετε τους κινδύνους που περιγράφονται σε αυτό το άρθρο. 

Οδηγίες για αυτήν την έκδοση

Για αυτήν την έκδοση, ακολουθήστε αυτά τα δύο βήματα.

Βήμα 1: Εγκατάσταση της ενημέρωσης

ασφαλείας των Windows Εγκαταστήστε τη μηνιαία ενημέρωση ασφαλείας των Windows που κυκλοφόρησε στις ή μετά τις 9 Ιουλίου 2024, σε υποστηριζόμενες συσκευές Windows. Αυτές οι ενημερώσεις περιλαμβάνουν μετριασμούς για το CVE-2023-24932, αλλά δεν είναι ενεργοποιημένα από προεπιλογή. Όλες οι συσκευές Windows θα πρέπει να ολοκληρώσουν αυτό το βήμα είτε σκοπεύετε να αναπτύξετε τους μετριασμούς είτε όχι.

Βήμα 2: Αξιολόγηση των αλλαγών

Σας ενθαρρύνουμε να κάνετε τα εξής:

• Κατανοήστε τους δύο πρώτους μετριασμούς που επιτρέπουν την ενημέρωση του Secure Boot DB και την ενημέρωση του προγράμματος διαχείρισης εκκίνησης.

• Ελέγξτε το ενημερωμένο χρονοδιάγραμμα.

• Ξεκινήστε τη δοκιμή των δύο πρώτων μετριασμάτων σε αντιπροσωπευτικές συσκευές από το περιβάλλον σας.

• Ξεκινήστε το σχεδιασμό για την ανάπτυξη.

Βήμα 3: Επιβολή των αλλαγών

Σας ενθαρρύνουμε να κατανοήσετε τους κινδύνους που αναφέρονται στην ενότητα Κατανόηση των κινδύνων.

• Κατανοήστε τις επιπτώσεις στην αποκατάσταση και άλλα μέσα με δυνατότητα εκκίνησης.

• Ξεκινήστε τη δοκιμή του τρίτου μετριασμού που δεν εμπιστεύεται το πιστοποιητικό υπογραφής που χρησιμοποιείται για όλους τους προηγούμενους διαχειριστές εκκίνησης των Windows.

Οδηγίες ανάπτυξης μετριασμού

Πριν ακολουθήσετε αυτά τα βήματα για την εφαρμογή των μετριασμών, εγκαταστήστε τη μηνιαία ενημέρωση συντήρησης των Windows που κυκλοφόρησε στις ή μετά τις 9 Ιουλίου 2024 σε υποστηριζόμενες συσκευές Windows. Αυτή η ενημέρωση περιλαμβάνει μετριασμούς για το CVE-2023-24932, αλλά δεν είναι ενεργοποιημένα από προεπιλογή. Όλες οι συσκευές Windows θα πρέπει να ολοκληρώσουν αυτό το βήμα ανεξάρτητα από το σχέδιό σας για την ενεργοποίηση των μετριασμάτων.

Για να αναπτύξετε την ενημέρωση και να εφαρμόσετε τις ανακλήσεις, ακολουθήστε τα παρακάτω βήματα:

1. Εγκαταστήστε τους ενημερωμένους ορισμούς πιστοποιητικών στο DB.

   Αυτό το βήμα θα προσθέσει το πιστοποιητικό "Windows UEFI CA 2023" στη "Βάση δεδομένων υπογραφής ασφαλούς εκκίνησης" (DB) του UEFI. Με την προσθήκη αυτού του πιστοποιητικού στο DB, το υλικολογισμικό της συσκευής θα θεωρεί αξιόπιστες τις εφαρμογές εκκίνησης που είναι υπογεγραμμένες από αυτό το πιστοποιητικό.

   1. Ανοίξτε μια γραμμή εντολών διαχειριστή και ορίστε το κλειδί μητρώου για την εκτέλεση της ενημέρωσης σε DB, πληκτρολογώντας την ακόλουθη εντολή:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      ΣΗΜΑΝΤΙΚΌΣ Επανεκκινήστε τη συσκευή δύο φορές για να ολοκληρώσετε την εγκατάσταση της ενημέρωσης προτού προχωρήσετε στα βήματα 2 και 3.

   2. Εκτελέστε την ακόλουθη εντολή του PowerShell ως διαχειριστής και βεβαιωθείτε ότι το DB έχει ενημερωθεί με επιτυχία. Αυτή η εντολή θα πρέπει να επιστρέψει την τιμή True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Ενημερώστε τη Διαχείριση εκκίνησης στη συσκευή σας.

   Αυτό το βήμα θα εγκαταστήσει μια εφαρμογή διαχείρισης εκκίνησης στη συσκευή σας, η οποία είναι υπογεγραμμένη με το πιστοποιητικό "Windows UEFI CA 2023".

   1. Ανοίξτε μια γραμμή εντολών διαχειριστή και ορίστε το κλειδί μητρώου για να εγκαταστήσετε τη διαχείριση εκκίνησης με υπογραφή "'Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Επανεκκινήστε τη συσκευή δύο φορές.

   3. Ως διαχειριστής, τοποθετήστε το διαμέρισμα EFI για να το προετοιμάσετε για έλεγχο:

      mountvol s: /s

   4. Επαληθεύστε ότι το αρχείο "s:\efi\microsoft\boot\bootmgfw.efi" είναι υπογεγραμμένο από το πιστοποιητικό "Windows UEFI CA 2023". Για να το κάνετε αυτό, ακολουθήστε αυτά τα βήματα:

      1. Κάντε κλικ στο κουμπί Έναρξη, πληκτρολογήστεγραμμή εντολών στο πλαίσιο Αναζήτηση και, στη συνέχεια, κάντε κλικ στην επιλογή Γραμμή εντολών.

      2. Στο παράθυρο γραμμής εντολών , πληκτρολογήστε την ακόλουθη εντολή και, στη συνέχεια, πατήστε το πλήκτρο Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. Στη Διαχείριση αρχείων, κάντε δεξί κλικ στο αρχείο C:\bootmgfw_2023.efi, κάντε κλικ στην επιλογή Ιδιότητες και, στη συνέχεια, επιλέξτε την καρτέλα Ψηφιακές υπογραφές .

      4. Στη λίστα Υπογραφή, επιβεβαιώστε ότι η αλυσίδα πιστοποιητικών περιλαμβάνει το Windows UEFI CA 2023. Η αλυσίδα πιστοποιητικών θα πρέπει να συμφωνεί με το ακόλουθο στιγμιότυπο οθόνης:
         
         

3. Ενεργοποιήστε την ανάκληση.

   Η Απαγορευμένη λίστα UEFI (DBX) χρησιμοποιείται για τον αποκλεισμό μη αξιόπιστων λειτουργικών μονάδων UEFI από τη φόρτωση. Σε αυτό το βήμα, η ενημέρωση του DBX θα προσθέσει το πιστοποιητικό "Windows Production CA 2011" στο DBX. Αυτό θα έχει ως αποτέλεσμα όλοι οι διαχειριστές εκκίνησης που έχουν υπογραφεί από αυτό το πιστοποιητικό να μην θεωρούνται πλέον αξιόπιστοι.

   ΠΡΟΕΙΔΟΠΟΙΗΣΗ: Πριν από την εφαρμογή της τρίτης λύσης, δημιουργήστε μια μονάδα flash αποκατάστασης που μπορεί να χρησιμοποιηθεί για την εκκίνηση του συστήματος. Για πληροφορίες σχετικά με το πώς να το κάνετε αυτό, ανατρέξτε στην ενότητα Ενημέρωση πολυμέσων εγκατάστασης των Windows.

   Αν το σύστημά σας μεταβεί σε κατάσταση μη εκκίνησης, ακολουθήστε τα βήματα στην ενότητα Διαδικασία αποκατάστασης για να επαναφέρετε τη συσκευή σε κατάσταση προ-ανάκλησης.

   1. Προσθέστε το πιστοποιητικό "Windows Production PCA 2011" στη Λίστα απαγορευμένων δικαιωμάτων Ασφαλούς εκκίνησης UEFI (DBX). Για να το κάνετε αυτό, ανοίξτε ένα παράθυρο γραμμής εντολών ως διαχειριστής, πληκτρολογήστε την ακόλουθη εντολή και, στη συνέχεια, πατήστε το πλήκτρο Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Επανεκκινήστε τη συσκευή δύο φορές και επιβεβαιώστε ότι έχει επανεκκινηθεί πλήρως.

   3. Επαληθεύστε ότι η λίστα εγκατάστασης και ανάκλησης εφαρμόστηκε με επιτυχία αναζητώντας το συμβάν 1037 στο αρχείο καταγραφής συμβάντων.
      
      Για πληροφορίες σχετικά με το Συμβάν 1037, ανατρέξτε στο θέμα KB5016061: Ασφαλής εκκίνηση DB και συμβάντα μεταβλητής ενημέρωσης DBX. Εναλλακτικά, εκτελέστε την ακόλουθη εντολή PowerShell ως Διαχειριστής και βεβαιωθείτε ότι επιστρέφει την τιμή True:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).byte) -match 'Microsoft Windows Production PCA 2011' 

4. Εφαρμόστε την ενημέρωση SVN στο υλικολογισμικό.
   
   Η Διαχείριση εκκίνησης που έχει αναπτυχθεί στο Βήμα 2 έχει ενσωματωμένη μια νέα δυνατότητα αυτόματης ανάκλησης. Όταν ξεκινά η εκτέλεση της Διαχείρισης εκκίνησης, εκτελεί αυτοέλεγχο συγκρίνοντας τον Αριθμό ασφαλούς έκδοσης (SVN) που είναι αποθηκευμένος στο υλικολογισμικό, με το SVN ενσωματωμένο στη Διαχείριση εκκίνησης. Αν το SVN Boot Manager είναι μικρότερο από το SVN που είναι αποθηκευμένο στο υλικολογισμικό, το Boot Manager θα αρνηθεί να το εκτελέσει. Αυτή η δυνατότητα εμποδίζει έναν εισβολέα να επαναφέρει τη Διαχείριση εκκίνησης σε μια παλαιότερη, μη ενημερωμένη έκδοση.
   
   Σε μελλοντικές ενημερώσεις, όταν ένα σημαντικό πρόβλημα ασφαλείας διορθωθεί στη Διαχείριση εκκίνησης, ο αριθμός SVN θα αυξάνεται τόσο στη Διαχείριση εκκίνησης όσο και στην ενημέρωση του υλικολογισμικού. Και οι δύο ενημερώσεις θα κυκλοφορούν στην ίδια συγκεντρωτική ενημέρωση, για να διασφαλιστεί ότι οι συσκευές με ενημέρωση κώδικα είναι προστατευμένες. Κάθε φορά που ενημερώνεται το SVN, όλα τα μέσα με δυνατότητα εκκίνησης θα πρέπει να ενημερώνονται.
   
   Ξεκινώντας από τις 9 Ιουλίου 2024, τις ενημερώσεις, το SVN αυξάνεται στη Διαχείριση εκκίνησης και στην ενημέρωση του υλικολογισμικού. Η ενημέρωση υλικολογισμικού είναι προαιρετική και μπορεί να εφαρμοστεί ακολουθώντας τα παρακάτω βήματα:

   1. Ανοίξτε μια γραμμή εντολών διαχειριστή και εκτελέστε την ακόλουθη εντολή για να εγκαταστήσετε τη διαχείριση εκκίνησης με υπογραφή "Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. Επανεκκινήστε τη συσκευή δύο φορές.

Πολυμέσα με δυνατότητα εκκίνησης

Θα είναι σημαντικό να ενημερώσετε τα μέσα με δυνατότητα εκκίνησης μόλις ξεκινήσει η φάση ανάπτυξης στο περιβάλλον σας.

Οδηγίες για την ενημέρωση των πολυμέσων με δυνατότητα εκκίνησης θα συνοδεύονται από μελλοντικές ενημερώσεις για αυτό το άρθρο. Ανατρέξτε στην επόμενη ενότητα για να δημιουργήσετε μια μονάδα USB thumb για να ανακτήσετε μια συσκευή.

Ενημέρωση μέσου εγκατάστασης των Windows

Μπορείτε να χρησιμοποιήσετε την εφαρμογή Create Recovery Drive ακολουθώντας αυτά τα βήματα. Αυτό το μέσο μπορεί να χρησιμοποιηθεί για την επανεγκατάσταση μιας συσκευής σε περίπτωση που υπάρχει κάποιο σημαντικό πρόβλημα, όπως μια αποτυχία υλικού, θα μπορείτε να χρησιμοποιήσετε τη μονάδα δίσκου αποκατάστασης για να επανεγκαταστήσετε τα Windows.

1. Μεταβείτε σε μια συσκευή όπου έχουν εφαρμοστεί οι ενημερώσεις της 9ης Ιουλίου 2024 και το πρώτο βήμα μετριασμού (ενημέρωση της Ασφαλούς εκκίνησης DB).

2. Από το μενού "Έναρξη", κάντε αναζήτηση για βοηθητική εφαρμογή του πίνακα ελέγχου "Δημιουργία μονάδας δίσκου αποκατάστασης" και ακολουθήστε τις οδηγίες για να δημιουργήσετε μια μονάδα δίσκου αποκατάστασης.

3. Με τη μονάδα flash που μόλις δημιουργήσατε τοποθετημένη (για παράδειγμα, ως μονάδα δίσκου "D:"), εκτελέστε τις ακόλουθες εντολές ως διαχειριστής. Πληκτρολογήστε καθεμία από τις ακόλουθες εντολές και, στη συνέχεια, πατήστε το πλήκτρο Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Αν διαχειρίζεστε μέσα με δυνατότητα εγκατάστασης στο περιβάλλον σας χρησιμοποιώντας το μέσο εγκατάστασης του Update των Windows με οδηγίες για το Dynamic Update , ακολουθήστε τα παρακάτω βήματα. Αυτά τα πρόσθετα βήματα θα δημιουργήσουν μια μονάδα flash με δυνατότητα εκκίνησης που χρησιμοποιεί αρχεία εκκίνησης υπογεγραμμένα από το πιστοποιητικό υπογραφής "Windows UEFI CA 2023".

1. Μεταβείτε σε μια συσκευή όπου έχει εφαρμοστεί η ενημέρωση της 9ης Ιουλίου 2024 και το πρώτο βήμα μετριασμού (ενημέρωση της Ασφαλούς εκκίνησης DB).

2. Ακολουθήστε τα βήματα στην παρακάτω σύνδεση για να δημιουργήσετε πολυμέσα με ενημερώσεις της 9ης Ιουλίου 2024. Ενημέρωση μέσου εγκατάστασης των Windows με τη Δυναμική ενημέρωση

3. Τοποθετήστε τα περιεχόμενα του μέσου σε μια μονάδα USB και τοποθετήστε τη μονάδα δίσκου ως γράμμα μονάδας δίσκου. Για παράδειγμα, μοντάρισμα της μονάδας δίσκου ως "D:".

4. Εκτελέστε τις ακόλουθες εντολές από ένα παράθυρο εντολών ως διαχειριστής. Πληκτρολογήστε καθεμία από τις ακόλουθες εντολές και, στη συνέχεια, πατήστε το πλήκτρο Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Αν στις προεπιλεγμένες ρυθμίσεις έχει γίνει επαναφορά των ρυθμίσεων Ασφαλούς εκκίνησης σε μια συσκευή μετά την εφαρμογή των μετριασμάτων, η συσκευή δεν θα εκκινείται. Για την επίλυση αυτού του προβλήματος, περιλαμβάνεται μια εφαρμογή επιδιόρθωσης με τις ενημερώσεις της 9ης Ιουλίου 2024 που μπορούν να χρησιμοποιηθούν για την εκ νέου εφαρμογή του πιστοποιητικού "Windows UEFI CA 2023" στο DB (μετριασμός #1).

1. Μεταβείτε σε μια συσκευή όπου έχουν εφαρμοστεί οι ενημερώσεις της 9ης Ιουλίου 2024.

2. Σε ένα παράθυρο εντολών, αντιγράψτε την εφαρμογή αποκατάστασης στη μονάδα flash χρησιμοποιώντας τις ακόλουθες εντολές (με την προϋπόθεση ότι η μονάδα flash είναι η μονάδα δίσκου "D:"). Πληκτρολογήστε κάθε εντολή ξεχωριστά και, στη συνέχεια, πατήστε το πλήκτρο Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Στη συσκευή στην οποία έχουν γίνει επαναφορά των ρυθμίσεων Ασφαλούς εκκίνησης στις προεπιλογές, εισαγάγετε τη μονάδα flash, επανεκκινήστε τη συσκευή και εκκινήστε τη από τη μονάδα flash.

Χρονισμός ενημερώσεων

Οι ενημερώσεις κυκλοφορούν ως εξής:

• Αρχική ανάπτυξη Αυτή η φάση ξεκίνησε με ενημερώσεις που κυκλοφόρησαν στις 9 Μαΐου 2023 και παρείχε βασικούς μετριασμούς με μη αυτόματα βήματα για την ενεργοποίηση αυτών των μετριασμών.

• Δεύτερη ανάπτυξη Αυτή η φάση ξεκίνησε με ενημερώσεις που κυκλοφόρησαν στις 11 Ιουλίου 2023, οι οποίες πρόσθεσαν απλοποιημένα βήματα για την ενεργοποίηση των μετριασμών για το πρόβλημα.

• Φάση αξιολόγησης Αυτή η φάση θα ξεκινήσει στις 9 Απριλίου 2024 και θα προσθέσει επιπλέον μετριασμούς διαχείρισης εκκίνησης.

• Φάση ανάπτυξης Τότε θα ενθαρρύνουμε όλους τους πελάτες να αρχίσουν να αναπτύσσουν τους μετριασμούς και να ενημερώνουν τα μέσα ενημέρωσης.

• Φάση επιβολής Η φάση επιβολής που θα καταστήσει μόνιμους τους μετριασμούς. Η ημερομηνία για αυτή τη φάση θα ανακοινωθεί σε μεταγενέστερη ημερομηνία.

Σημείωση Το χρονοδιάγραμμα κυκλοφορίας μπορεί να αναθεωρηθεί ανάλογα με τις ανάγκες.

Σφάλματα αρχείου καταγραφής συμβάντων των Windows που σχετίζονται με το CVE-2023-24932

Οι καταχωρήσεις του αρχείου καταγραφής συμβάντων των Windows που σχετίζονται με την ενημέρωση των DB και DBX περιγράφονται λεπτομερώς στο KB5016061: Συμβάντα ασφαλούς εκκίνησης DB και μεταβλητής ενημέρωσης DBX.

Τα συμβάντα "επιτυχίας" που σχετίζονται με την εφαρμογή των μετριασμάτων παρατίθενται στον παρακάτω πίνακα.

Συνήθεις ερωτήσεις (Συνήθεις ερωτήσεις)

Αντιμετώπιση προβλημάτων εκκίνησης

Μετά την εφαρμογή και των τριών μετριασμών, το υλικολογισμικό της συσκευής δεν θα εκκινείται χρησιμοποιώντας μια διαχείριση εκκίνησης υπογεγραμμένη από το Windows Production PCA 2011. Οι αποτυχίες εκκίνησης που αναφέρονται από το υλικολογισμικό αφορούν συγκεκριμένες συσκευές. Ανατρέξτε στην ενότητα Διαδικασία αποκατάστασης .

Διαδικασία αποκατάστασης

Αν κάτι δεν πάει καλά κατά την εφαρμογή των μετριασμάτων και δεν μπορείτε να εκκινήσετε τη συσκευή σας ή πρέπει να ξεκινήσετε από εξωτερικά μέσα (όπως μια μονάδα flash ή μια εκκίνηση PXE), δοκιμάστε τις ακόλουθες προτάσεις:

1. Απενεργοποιήστε την Ασφαλή εκκίνηση.
   
   Αυτή η διαδικασία διαφέρει μεταξύ των κατασκευαστών συσκευών και των μοντέλων. Εισαγάγετε το μενού UEFI BIOS των συσκευών σας, μεταβείτε στις ρυθμίσεις Ασφαλούς εκκίνησης και απενεργοποιήστε το. Ελέγξτε την τεκμηρίωση από τον κατασκευαστή της συσκευής σας για λεπτομέρειες σχετικά με αυτήν τη διαδικασία. Μπορείτε να βρείτε περισσότερες λεπτομέρειες στην ενότητα Απενεργοποίηση ασφαλούς εκκίνησης.

2. Επαναφέρετε τα κλειδιά ασφαλούς εκκίνησης στις εργοστασιακές προεπιλογές.

   Αν η συσκευή υποστηρίζει επαναφορά των κλειδιών ασφαλούς εκκίνησης στις εργοστασιακές προεπιλογές, εκτελέστε αυτήν την ενέργεια τώρα.

   ΣΗΜΕΊΩΣΗ Ορισμένοι κατασκευαστές συσκευών έχουν και την επιλογή "Απαλοιφή" και την επιλογή "Επαναφορά" για τις μεταβλητές Ασφαλούς εκκίνησης, οπότε θα πρέπει να χρησιμοποιείται η επιλογή "Επαναφορά". Ο στόχος είναι να επαναφέρετε τις μεταβλητές Ασφαλούς εκκίνησης στις προεπιλεγμένες τιμές των κατασκευαστών.

   Η συσκευή σας θα πρέπει να εκκινείται τώρα, αλλά λάβετε υπόψη ότι είναι ευάλωτη σε λογισμικό κακόβουλης λειτουργίας boot-kit. Φροντίστε να ολοκληρώσετε το βήμα 5 αυτής της διαδικασίας αποκατάστασης για να ενεργοποιήσετε ξανά την Ασφαλή εκκίνηση.

3. Δοκιμάστε να εκκινήσετε τα Windows από το δίσκο συστήματος.

   1. Συνδεθείτε στα Windows.

   2. Εκτελέστε τις ακόλουθες εντολές από μια γραμμή εντολών διαχειριστή για να επαναφέρετε τα αρχεία εκκίνησης στο διαμέρισμα εκκίνησης συστήματος EFI. Πληκτρολογήστε κάθε εντολή ξεχωριστά και, στη συνέχεια, πατήστε το πλήκτρο Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Η εκτέλεση του BCDBoot επιστρέφει "Τα αρχεία εκκίνησης δημιουργήθηκαν με επιτυχία". Αφού εμφανιστεί αυτό το μήνυμα, επανεκκινήστε τη συσκευή ξανά στα Windows.

4. Αν το Βήμα 3 δεν ανακτήσει με επιτυχία τη συσκευή, επανεγκαταστήστε τα Windows.

   1. Εκκινήστε τη συσκευή από το υπάρχον μέσο αποκατάστασης.

   2. Προχωρήστε στην εγκατάσταση των Windows χρησιμοποιώντας το μέσο αποκατάστασης.

   3. Συνδεθείτε στα Windows.

   4. Επανεκκινήστε τα Windows, για να βεβαιωθείτε ότι η συσκευή θα επανεκκινηθεί στα Windows.

5. Ενεργοποιήστε ξανά την Ασφαλή εκκίνηση και επανεκκινήστε τη συσκευή.
   
   Πληκτρολογήστε το μενού UEFI της συσκευής, μεταβείτε στις ρυθμίσεις Ασφαλούς εκκίνησης και ενεργοποιήστε την. Ελέγξτε την τεκμηρίωση από τον κατασκευαστή της συσκευής σας για λεπτομέρειες σχετικά με αυτήν τη διαδικασία. Μπορείτε να βρείτε περισσότερες πληροφορίες στην ενότητα "Επανενεργή ασφαλής εκκίνηση".

Αναφορές

• Οδηγίες για τη διερεύνηση επιθέσεων με χρήση του CVE-2022-21894: Η εκστρατεία του BlackLotus

• Ασφαλής εκκίνηση

• Ενεργοποίηση ασφαλούς εκκίνησης σε εγγεγραμμένες συσκευές Windows

• Για τα συμβάντα που δημιουργούνται κατά την εφαρμογή ενημερώσεων DBX, ανατρέξτε στο θέμα KB5016061: Αντιμετώπιση ευάλωτων και ανακλημένων διαχειριστών εκκίνησης.