KB5025885: כיצד לנהל את ביטולי מנהל האתחול של Windows עבור שינויים באתחול מאובטח המשויכים ל- CVE-2023-24932

במאמר זה

• סיכום

  • בצע פעולה

  • טווח ההשפעה

  • הבנת הסיכונים

  • בעיות מוכרות

• הנחיות עבור מהדורה זו

• קווים מנחים לפריקת צמצום סיכונים

• מדיה הניתנת לאתחול

• עדכון מדיית התקנה של Windows

• תזמון עדכונים

• שגיאות ביומן האירועים של Windows הקשורות ל- CVE-2023-24932

• שאלות נפוצות (שאלות נפוצות)

• פתרון בעיות אתחול

• פרוצדורת שחזור

• ספרי עזר

• יומן רישום שינויים

סיכום

מאמר זה מתאר את ההגנה מפני עקיפת תכונת האבטחה של אתחול מאובטח שנחשף לציבור, המשתמשת ב- Bootkit BlackLotus UEFI, ש- CVE-2023-24932 עוקב אחריו, כיצד להפוך את צמצום הסיכונים לזמין והדרכה לגבי מדיה הניתנת לאתחול. Bootkit היא תוכנית זדונית המיועדת לטעון מוקדם ככל האפשר ברצף אתחול של מכשירים כדי לשלוט בהפעלה של מערכת ההפעלה.

אתחול מאובטח מומלץ על-ידי Microsoft כדי ליצור נתיב בטוח ומהימן מממשק הקושחה המורחבת המאוחד (UEFI) דרך רצף האתחול המהימן של הליבה של Windows. אתחול מאובטח מסייע במניעת תוכנות זדוניות של Bootkit ברצף האתחול. השבתת אתחול מאובטח מציבה מכשיר בסיכון להידבקות בתוכנות זדוניות של bootkit. תיקון מעקף האתחול המאובטח המתואר ב- CVE-2023-24932 דורש ביטול מנהלי אתחול. הדבר עלול לגרום לבעיות עבור תצורות אתחול מסוימות של המכשיר.

צמצום סיכונים נגד עקיפת האתחול המאובטח המפורט ב- CVE-2023-24932 כלולים בעדכוני האבטחה של Windows שפורסמו ב- 9 ביולי 2024 או לאחר מכן. עם זאת, צמצום סיכונים אלה אינו זמין כברירת מחדל. עם עדכונים אלה, מומלץ להתחיל בהערכת שינויים אלה בסביבה שלך. לוח הזמנים המלא מתואר בסעיף תזמון עדכונים .

לפני שתאפשר צמצום סיכונים אלה, עליך לסקור באופן יסודי את הפרטים במאמר זה ולברר אם עליך להפעיל את צמצום הסיכונים או להמתין לעדכון עתידי מ- Microsoft. אם תבחר להפוך את צמצום הסיכונים לזמין, עליך לוודא שהמכשירים שלך מעודכנים ומוכן, ולהבין את הסיכונים המתוארים במאמר זה. 

הנחיות עבור מהדורה זו

עבור מהדורה זו, בצע שני שלבים אלה.

שלב 1: התקנת עדכון האבטחה של Windows

התקן את עדכון האבטחה החודשי של Windows שפורסם ב- 9 ביולי 2024 או לאחר מכן במכשירי Windows נתמכים. עדכונים אלה כוללים צמצום סיכונים עבור CVE-2023-24932 אך אינם זמינים כברירת מחדל. כל מכשירי Windows אמורים להשלים שלב זה בין אם בכוונתך לפרוס את צמצום הסיכונים.

שלב 2: הערכת השינויים

אנו ממליצים לך לבצע את הפעולות הבאות:

• להבין את שני צמצום הסיכונים הראשונים שמאפשרים לעדכן את מסד הנתונים של האתחול המאובטח ולעדכן את מנהל האתחול.

• סקור את לוח הזמנים המעודכן.

• התחל לבדוק את שני צמצום הסיכונים הראשונים כנגד מכשירים מייצגים מהסביבה שלך.

• התחל לתכנן את הפריסה.

שלב 3: אכיפת השינויים

אנו ממליצים לך להבין את הסיכונים המתוארים בסעיף הבנת הסיכונים.

• להבין את ההשפעה על השחזור ומדיה ניתנת לאתחול אחרת.

• התחל לבדוק את צמצום הסיכונים השלישי שמבטל את האמון באישור החתימה המשמש עבור כל מנהלי האתחול הקודמים של Windows.

קווים מנחים לפריקת צמצום סיכונים

לפני ביצוע שלבים אלה להחלת צמצום הסיכונים, התקן את עדכון השירות החודשי של Windows שפורסם ב- 9 ביולי 2024 או לאחר מכן במכשירי Windows נתמכים. עדכון זה כולל צמצום סיכונים עבור CVE-2023-24932 אך הם אינם זמינים כברירת מחדל. כל מכשירי Windows אמורים להשלים שלב זה ללא קשר לתוכנית שלך כדי לאפשר את צמצום הסיכונים.

כדי לפרוס את העדכון ולהחיל את הביטובים, בצע את הפעולות הבאות:

1. התקן את הגדרות האישור המעודכן ל- DB.

   שלב זה יוסיף את האישור "Windows UEFI CA 2023" ל- UEFI "Secure Boot Signature Database" (DB). על-ידי הוספת אישור זה ל- DB, קושחת המכשיר ת לתת אמון ביישומי אתחול החתמו על-ידי אישור זה.

   1. פתח שורת פקודה של מנהל מערכת והגדר את ה- regkey לביצוע העדכון ל- DB על-ידי הזנת הפקודה הבאה:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      חשוב הקפד להפעיל מחדש את המכשיר פעמיים כדי להשלים את התקנת העדכון לפני שתמשיך לשלבים 2 ו- 3.

   2. הפעל את הפקודה הבאה של PowerShell כמנהל מערכת וודא שקובץ מסד הנתונים עודכן בהצלחה. פקודה זו אמורה להחזיר True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. עדכן את Boot Manager במכשיר שלך.

   שלב זה יתקין יישום מנהל אתחול במכשיר שלך החתום עם האישור "Windows UEFI CA 2023".

   1. פתח שורת פקודה של מנהל מערכת והגדר את ה- regkey להתקנת מנהל האתחול החתום "Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. הפעל מחדש את המכשיר פעמיים.

   3. כמנהל מערכת, לטעון את מחיצת ה- EFI כדי להתכונן לבדיקה:

      mountvol s: /s

   4. ודא שהקובץ "s:\efi\microsoft\boot\bootmgfw.efi" חתום על-ידי האישור "Windows UEFI CA 2023". לשם כך, בצע שלבים אלה:

      1. לחץ על התחל, הקלד שורת פקודה בתיבת החיפוש ולאחר מכן לחץ על שורת הפקודה.

      2. בחלון שורת הפקודה , הקלד את הפקודה הבאה ולאחר מכן הקש Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. במנהל הקבצים, לחץ באמצעות לחצן העכבר הימני על הקובץ C:\bootmgfw_2023.efi, לחץ על מאפיינים ולאחר מכן בחר בכרטיסיה חתימות דיגיטליות.

      4. ברשימה חתימה , ודא ששרשרת האישורים כוללת את Windows UEFI CA 2023. שרשרת האישורים אמורה להתאים לצילום המסך הבא:
         
         

3. הפוך את הביטולי לזמין.

   הרשימה האסורה של UEFI (DBX) משמשת לחסימת טעינה של מודולי UEFI לא מהימנה. בשלב זה, עדכון DBX יוסיף את האישור "Windows Production CA 2011" ל- DBX. פעולה זו תגרום לכך שכל מנהלי האתחול החתמו על-ידי אישור זה לא יהיו מהימנים עוד.

   אזהרה: לפני החלת צמצום הסיכונים השלישי, צור כונן הבזק לשחזור שניתן להשתמש בו לאתחול המערכת. לקבלת מידע על האופן שבו ניתן לעשות זאת, עיין בסעיף עדכון מדיית התקנה של Windows.

   אם המערכת שלך מקבלת מצב שאינו ניתן לאתחול, בצע את השלבים המפורטים בסעיף הליך שחזור כדי לאפס את המכשיר למצב קדם-ביטול.

   1. הוסף את האישור "Windows Production PCA 2011" לרשימה האסורה של אתחול מאובטח UEFI (DBX). לשם כך, פתח חלון שורת פקודה כמנהל מערכת, הקלד את הפקודה הבאה ולאחר מכן הקש Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. הפעל מחדש את המכשיר פעמיים ואשר שהוא הופעל מחדש באופן מלא.

   3. ודא שרשימת ההתקנה וההתבטלות הוחלה בהצלחה על-ידי חיפוש אירוע 1037 ביומן האירועים.
      
      לקבלת מידע אודות אירוע 1037, ראה KB5016061: אירועי עדכון של משתני DB ו- DBX של אתחול מאובטח. לחלופין, הפעל את הפקודה הבאה של PowerShell כמנהל מערכת וודא שהיא מחזירה True:

      [System.text.encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011' 

4. החל את עדכון SVN על הקושחה.
   
   מנהל האתחול שנפרס בשלב 2 כולל תכונת ביטול עצמית מוכללת חדשה. כאשר Boot Manager מתחיל לפעול, הוא מבצע בדיקה עצמית על-ידי השוואת מספר הגירסה המאובטחת (SVN) המאוחסן בקושחה, כאשר SVN מוכלל במנהל האתחול. אם ה- SVN של Boot Manager נמוך מה- SVN המאוחסן בקושחה, מנהל האתחול מסרב לפעול. תכונה זו מונעת מתוקף להחזיר את מנהל האתחול לגירסה קודמת שאינה מעודכנת.
   
   בעדכונים עתידיים, כאשר בעיית אבטחה משמעותית נפתרת במנהל האתחול, מספר ה- SVN יופיע בהפרש קבוע הן במנהל האתחול והן בעדכון לקושחה. שני העדכונים יופצו באותו עדכון מצטבר כדי לוודא שהמכשירים המתוקכנים מוגנים. בכל פעם שה- SVN מתעדכן, יהיה צורך לעדכן כל מדיה הניתנת לאתחול.
   
   החל מ- 9 ביולי 2024, ה- SVN מצטבר ב- Boot Manager והעדכון לקושחה. עדכון הקושחה הוא אופציונלי ובאפשרותך להחיל אותו על-ידי ביצוע השלבים הבאים:

   1. פתח שורת פקודה של מנהל מערכת והפעל את הפקודה הבאה כדי להתקין את מנהל האתחול החתום "Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. הפעל מחדש את המכשיר פעמיים.

מדיה הניתנת לאתחול

יהיה חשוב לעדכן מדיה הניתנת לאתחול לאחר ששלב הפריסה יתחיל בסביבה שלך.

הדרכה לעדכון מדיה הניתנת לאתחול מגיעה עם עדכונים עתידיים למאמר זה. עיין בסעיף הבא כדי ליצור כונן אצבע מסוג USB לשחזור מכשיר.

עדכון מדיית התקנה של Windows

באפשרותך להשתמש ביישום Create Recovery Drive על-ידי ביצוע השלבים הבאים. מדיה זו יכולה לשמש להתקנה מחדש של מכשיר במקרה שיש בעיה חמורה כגון כשל בחומרה, תוכל להשתמש בכונן השחזור כדי להתקין מחדש את Windows.

1. עבור אל מכשיר שבו הוחלו העדכונים של 9 ביולי 2024 וצעד צמצום הסיכונים הראשון (עדכון מסד הנתונים של האתחול המאובטח).

2. מתפריט התחלה, חפש את יישומון לוח הבקרה 'צור כונן שחזור' ובצע את ההוראות ליצירת כונן שחזור.

3. לאחר טעינת כונן ההבזק החדש שנוצר (לדוגמה, ככונן "D:"), הפעל את הפקודות הבאות כמנהל מערכת. הקלד כל אחת מהפקודות הבאות ולאחר מכן הקש Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

אם אתה מנהל מדיה הניתנת להתקנה בסביבה שלך באמצעות מדיית ההתקנה של Windows עדכון עם הדרכה לעדכון דינאמי , בצע שלבים אלה. שלבים נוספים אלה ייצור כונן הבזק ניתן לאתחול המשתמש בקובצי אתחול החתומות על-ידי אישור החתימה "Windows UEFI CA 2023".

1. עבור אל מכשיר שבו הוחלו העדכונים של 9 ביולי 2024 וצעד צמצום הסיכונים הראשון (עדכון מסד הנתונים של האתחול המאובטח).

2. בצע את השלבים בקישור שלהלן כדי ליצור מדיה עם העדכונים של 9 ביולי 2024. עדכן את מדיית ההתקנה של Windows באמצעות עדכון דינאמי

3. מקם את תוכן המדיה בכונן USB והתקן את כונן האצבע כאות כונן. לדוגמה, הרכב את כונן האצבע כ- "D:".

4. הפעל את הפקודות הבאות מחלון פקודה כמנהל מערכת. הקלד כל אחת מהפקודות הבאות ולאחר מכן הקש Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

אם המכשיר מאופס להגדרות האתחול המאובטח להגדרות ברירת המחדל לאחר החלת צמצום הסיכונים, המכשיר לא יאותחל. כדי לפתור בעיה זו, יישום תיקון כלול בעדכוני 9 ביולי 2024 שניתן להשתמש בהם כדי להחיל מחדש את אישור "Windows UEFI CA 2023" על מסד הנתונים (צמצום סיכונים #1).

1. עבור אל מכשיר שבו הוחלו העדכונים של 9 ביולי 2024.

2. בחלון פקודה, העתק את יישום השחזור לכונן ההבזק באמצעות הפקודות הבאות (בהנחה שכונן ההבזק הוא כונן "D:"). הקלד כל פקודה בנפרד ולאחר מכן הקש Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. במכשיר שבו הגדרות האתחול המאובטח מאופסות להגדרות ברירת המחדל, הכנס את כונן ההבזק, הפעל מחדש את המכשיר ובצע אתחול מכונן ההבזק.

תזמון עדכונים

עדכונים מופצים באופן הבא:

• פריסה ראשונית שלב זה התחיל עם עדכונים שהופצו ב- 9 במאי 2023, שסיפקו צמצום סיכונים בסיסי עם שלבים ידניים כדי לאפשר צמצום סיכונים אלה.

• פריסה שניה שלב זה התחיל עם עדכונים שהופצו ב- 11 ביולי 2023, אשר הוסיפו שלבים פשוטים יותר כדי לאפשר את צמצום הסיכונים לבעיה.

• שלב הערכה שלב זה יתחיל ב- 9 באפריל, 2024, והוא יוסיף צמצום סיכונים נוסף של מנהל האתחול.

• שלב הפריסה זה כאשר אנו נעודד את כל הלקוחות להתחיל לפרוס את הסיכונים ולעדכן מדיה.

• שלב האכיפה שלב האכיפה יהפוך את צמצום הסיכונים לקבוע. התאריך עבור שלב זה יוכרז בתאריך מאוחר יותר.

הערה ניתן לתקן את לוח הזמנים של ההפצה לפי הצורך.

שגיאות ביומן האירועים של Windows הקשורות ל- CVE-2023-24932

ערכי יומן האירועים של Windows הקשורים לעדכון מסד הנתונים ו- DBX מתוארים בפירוט ב- KB5016061: אירועי עדכון של משתני DB ו- DBX של אתחול מאובטח.

האירועים "הצלחה" הקשורים להחלת צמצום הסיכונים מפורטים בטבלה הבאה.

שאלות נפוצות (שאלות נפוצות)

פתרון בעיות אתחול

לאחר החלת כל שלוש צמצום הסיכונים, קושחת המכשיר לא תאתחול באמצעות מנהל אתחול שנחתם על-ידי Windows Production PCA 2011. כשלי האתחול שדווחו על-ידי הקושחה הם ספציפיים למכשיר. עיין בסעיף ' הליך שחזור '.

פרוצדורת שחזור

אם משהו משתבש בעת החלת צמצום הסיכונים, ולא ניתן להפעיל את המכשיר או שעליך להתחיל ממדיה חיצונית (כגון כונן אצבע או אתחול PXE), נסה את ההצעות הבאות:

1. כבה אתחול מאובטח.
   
   הליך זה שונה בין יצרני מכשירים ומודלים. הזן את תפריט UEFI BIOS של המכשירים שלך ונווט אל הגדרות האתחול המאובטח וכבה אותו. עיין בתיעוד של יצרן המכשיר לקבלת פרטים ספציפיים על תהליך זה. ניתן למצוא פרטים נוספים בהפית אתחול מאובטח ללא זמין.

2. אפס מקשי אתחול מאובטח להגדרות ברירת המחדל של היצרן.

   אם ההתקן תומך באיפוס מקשי האתחול המאובטחים להגדרות ברירת המחדל של היצרן, בצע פעולה זו כעת.

   הערה יצרני מכשירים מסוימים כוללים גם את האפשרות "נקה" וגם את האפשרות "איפוס" עבור משתני אתחול מאובטח, במקרה זה יש להשתמש ב"איפוס". המטרה היא להחזיר את משתני האתחול המאובטח אל ערכי ברירת המחדל של היצרן.

   המכשיר שלך אמור להתחיל לפעול כעת, אך שים לב שהוא פגיע לתוכנות זדוניות של ערכת אתחול. הקפד להשלים את שלב 5 של תהליך שחזור זה כדי להפעיל מחדש אתחול מאובטח.

3. נסה להפעיל את Windows מדיסק המערכת.

   1. כניסה ל- Windows.

   2. הפעל את הפקודות הבאות משורת פקודה של מנהל מערכת כדי לשחזר את קבצי האתחול במחיצת אתחול המערכת של EFI. הקלד כל פקודה בנפרד ולאחר מכן הקש Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. הפעלת BCDBoot מחזירה את ההודעה "Boot files created successfully created". לאחר שהודעה זו מוצגת, הפעל מחדש את המכשיר בחזרה ל- Windows.

4. אם שלב 3 אינו משחזר בהצלחה את המכשיר, התקן מחדש את Windows.

   1. הפעל את המכשיר מדיית שחזור קיימת.

   2. המשך להתקין את Windows באמצעות מדיית השחזור.

   3. כניסה ל- Windows.

   4. הפעל מחדש את Windows כדי לוודא שהמכשיר מופעל בחזרה ל- Windows.

5. הפעל מחדש אתחול מאובטח והפעל מחדש את המכשיר.
   
   הזן את תפריט UEFI של המכשיר ונווט אל הגדרות האתחול המאובטח והפעל אותו. עיין בתיעוד של יצרן המכשיר לקבלת פרטים ספציפיים על תהליך זה. ניתן למצוא מידע נוסף בסעיף "הפעל מחדש אתחול מאובטח".

ספרי עזר

• הדרכה לחקור התקפות באמצעות CVE-2022-21894: הקמפיין של BlackLotus

• אתחול מאובטח

• הפוך אתחול מאובטח לזמין במכשירי Windows רשומים

• עבור אירועים הנוצרים בעת החלת עדכוני DBX, ראה KB5016061: טופלו מנהלי אתחול פגיעים בוטלים.