KB5025885: CVE-2023-24932와 관련된 보안 부팅 변경 내용에 대한 Windows 부팅 관리자 해지 관리 방법

이 문서에서

• 요약

  • 조치 취하기

  • 영향 범위

  • 위험 이해

  • 알려진 문제

• 이 릴리스에 대한 지침

• 완화 배포 지침

• 부팅 가능한 미디어

• Windows 설치 미디어 업데이트

• 업데이트 시기

• CVE-2023-24932와 관련된 Windows 이벤트 로그 오류

• 자주 묻는 질문(FAQ)

• 부팅 문제 해결

• 복구 절차

• 참조 문서

• 로그 변경

요약

이 문서에서는 CVE-2023-24932에서 추적하는 BlackLotus UEFI 부트킷을 사용하는 공개적으로 공개된 보안 부팅 보안 기능 우회에 대한 보호, 완화를 사용하도록 설정하는 방법, 부팅 가능한 미디어에 대한 지침을 설명합니다. 부트킷은 운영 체제 시작을 제어하기 위해 장치 부팅 순서에서 가능한 한 빨리 로드되도록 설계된 악성 프로그램입니다.

보안 부팅은 Windows 커널 신뢰할 수 있는 부팅 시퀀스를 통해 UEFI(Unified Extensible Firmware Interface)에서 안전하고 신뢰할 수 있는 경로를 만들기 위해 Microsoft에서 권장하는 방식입니다. 보안 부팅은 부팅 시퀀스에서 부트킷 맬웨어를 방지하는 데 도움이 됩니다. 보안 부팅을 사용하지 않도록 설정하면 장치가 부트킷 맬웨어에 감염될 위험이 있습니다. CVE-2023-24932에 설명된 보안 부팅 바이패스를 수정하려면 부팅 관리자를 해지해야 합니다. 이로 인해 일부 장치 부팅 구성에 문제가 발생할 수 있습니다.

CVE-2023-24932에 자세히 설명된 보안 부팅 우회에 대한 완화는 2024년 7월 9일 또는 그 이후에 릴리스된 Windows 보안 업데이트에 포함되어 있습니다. 그러나 이러한 완화는 기본적으로 사용하도록 설정되지 않습니다. 이러한 업데이트를 사용하면 환경 내에서 이러한 변경 내용을 평가하는 것이 좋습니다. 전체 일정은 업데이트 타이밍 섹션에 설명되어 있습니다 .

이러한 완화를 활성화하기 전에 이 문서의 세부 정보를 자세히 검토하고 완화를 사용하도록 설정해야 하는지 아니면 Microsoft의 향후 업데이트를 기다려야 하는지 결정해야 합니다. 완화를 사용하도록 선택하는 경우 장치가 업데이트되어 있고 준비되었는지 확인하고 이 문서에 설명된 위험을 이해해야 합니다. 

이 릴리스에 대한 지침

이 릴리스의 경우 다음 두 단계를 수행합니다.

1단계: Windows 보안 업데이트 설치

지원되는 Windows 장치에 2024년 7월 9일 또는 그 이후에 릴리스된 Windows 월간 보안 업데이트를 설치합니다. 이러한 업데이트에는 CVE-2023-24932에 대한 완화가 포함되지만 기본적으로 사용하도록 설정되지는 않습니다. 모든 Windows 장치는 완화를 배포할 계획인지 여부에 관계없이 이 단계를 완료해야 합니다.

2단계: 변경 내용 평가

다음을 수행하는 것이 좋습니다.

• 보안 부팅 DB를 업데이트하고 부팅 관리자를 업데이트할 수 있는 처음 두 가지 완화를 이해합니다.

• 업데이트된 일정을 검토합니다.

• 사용자 환경의 대표 장치에 대해 처음 두 가지 완화를 테스트하기 시작합니다.

• 배포 계획을 시작합니다.

3단계: 변경 내용 적용

위험 이해 섹션에서 설명한 위험을 이해하는 것이 좋습니다.

• 복구 및 기타 부팅 가능한 미디어에 미치는 영향을 이해합니다.

• 이전의 모든 Windows 부팅 관리자에 사용된 서명 인증서를 신뢰하지 않는 세 번째 완화 테스트를 시작합니다.

완화 배포 지침

완화를 적용하기 위해 다음 단계를 따르기 전에 지원되는 Windows 장치에 2024년 7월 9일 또는 그 이후에 릴리스된 Windows 월간 서비스 업데이트를 설치합니다. 이 업데이트에는 CVE-2023-24932에 대한 완화가 포함되어 있지만 기본적으로 사용하도록 설정되지는 않습니다. 모든 Windows 장치는 완화를 사용하도록 설정하려는 계획에 관계없이 이 단계를 완료해야 합니다.

업데이트를 배포하고 해지를 적용하려면 다음 단계를 수행합니다.

1. 업데이트된 인증서 정의를 DB에 설치합니다.

   이 단계에서는 "Windows UEFI CA 2023" 인증서를 UEFI "보안 부팅 서명 데이터베이스"(DB)에 추가합니다. 이 인증서를 DB에 추가하면 장치 펌웨어는 이 인증서로 서명된 부팅 애플리케이션을 신뢰합니다.

   1. 관리자 명령 프롬프트를 열고 다음 명령을 입력하여 DB에 대해 업데이트를 수행하도록 regkey를 설정합니다.

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      중요 2단계와 3단계를 진행하기 전에 업데이트 설치를 완료하려면 장치를 두 번 다시 시작해야 합니다.

   2. 관리자 권한으로 다음 PowerShell 명령을 실행하고 DB가 성공적으로 업데이트되었는지 확인합니다. 이 명령은 True를 반환해야 합니다.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. 장치에서 부팅 관리자를 업데이트합니다.

   이 단계에서는 "Windows UEFI CA 2023” 인증서로 서명된 부팅 관리자 애플리케이션을 장치에 설치합니다.

   1. 관리자 명령 프롬프트를 열고 regkey를 설정하여 "'Windows UEFI CA 2023' 서명된 부팅 관리자를 설치합니다.

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. 디바이스를 두 번 다시 시작합니다.

   3. 관리자 권한으로 EFI 파티션을 탑재하여 검사할 준비를 합니다.

      mountvol s: /s

   4. "s:\efi\microsoft\boot\bootmgfw.efi" 파일이 "Windows UEFI CA 2023" 인증서로 서명되어 있는지 확인합니다. 이렇게 하려면 다음 단계를 수행하세요.

      1. 시작을 클릭하고 검색 상자에 명령 프롬프트를 입력한 다음 명령 프롬프트클릭합니다.

      2. 명령 프롬프트 창에서 다음 명령을 입력하고 Enter 키를 누릅니다.

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. 파일 관리자에서 C:\bootmgfw_2023.efi 파일을 마우스 오른쪽 단추로 클릭하고 속성을 클릭한 다음 디지털 서명 탭을 선택합니다.

      4. 서명 목록에서 인증서 체인에 Windows UEFI CA 2023이 포함되어 있는지 확인합니다. 인증서 체인은 다음 스크린샷과 일치해야 합니다.
         
         

3. 해지를 사용하도록 설정합니다.

   UEFI 금지 목록(DBX)은 신뢰할 수 없는 UEFI 모듈의 로드를 차단하는 데 사용됩니다. 이 단계에서 DBX를 업데이트하면 "Windows Production CA 2011" 인증서가 DBX에 추가됩니다. 이렇게 하면 이 인증서로 서명된 모든 부팅 관리자를 더 이상 신뢰할 수 없게 됩니다.

   경고: 세 번째 완화를 적용하기 전에 시스템을 부팅하는 데 사용할 수 있는 복구 플래시 드라이브를 만듭니다. 이 작업을 수행하는 방법에 대한 자세한 내용은 Windows 설치 미디어 업데이트 섹션을 참조하세요.

   시스템이 부팅할 수 없는 상태가 되면 복구 절차 섹션의 단계에 따라 장치를 해지 전 상태로 다시 설정합니다.

   1. "Windows Production PCA 2011" 인증서를 보안 부팅 UEFI 금지 목록(DBX)에 추가합니다. 이렇게 하려면 관리자 권한으로 명령 프롬프트 창을 열고 다음 명령을 입력한 다음 Enter 키를 누릅니다.

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. 장치를 두 번 다시 시작하고 장치가 완전히 다시 시작되었는지 확인합니다.

   3. 이벤트 로그에서 이벤트 1037을 찾아 설치 및 해지 목록이 적용되었는지 확인합니다.
      
      이벤트 1037에 대한 자세한 내용은 KB5016061: 보안 부팅 DB 및 DBX 변수 업데이트 이벤트를 참조하세요. 또는 다음 PowerShell 명령을 관리자 권한으로 실행하고 True를 반환하는지 확인합니다.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011' 

4. SVN 업데이트를 펌웨어에 적용합니다.
   
   2단계에서 배포된 부팅 관리자에는 새로운 자체 해지 기능이 기본 제공됩니다. 부팅 관리자가 실행되기 시작하면 펌웨어에 저장된 SVN(보안 버전 번호)과 부팅 관리자에 기본 제공되는 SVN을 비교하여 자체 검사를 수행합니다. 부팅 관리자 SVN이 펌웨어에 저장된 SVN보다 낮으면 부팅 관리자가 실행을 거부합니다. 이 기능을 사용하면 공격자가 부팅 관리자를 업데이트되지 않은 이전 버전으로 롤백할 수 없습니다.
   
   향후 업데이트에서 부팅 관리자에서 중요한 보안 문제가 해결되면 부팅 관리자와 펌웨어 업데이트 모두에서 SVN 번호가 증가합니다. 두 업데이트 모두 패치된 디바이스가 보호되도록 동일한 누적 업데이트로 릴리스됩니다. SVN이 업데이트될 때마다 부팅 가능한 미디어를 업데이트해야 합니다.
   ​​​​​​​
   2024년 7월 9일 업데이트부터 SVN이 부팅 관리자와 펌웨어 업데이트에서 갱신됩니다. 펌웨어 업데이트는 선택 사항이며 다음 단계에 따라 적용할 수 있습니다.

   1. 관리자 명령 프롬프트를 열고 다음 명령을 실행하여 "'Windows UEFI CA 2023" 서명된 부팅 관리자를 설치합니다.

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. 디바이스를 두 번 다시 시작합니다.

부팅 가능한 미디어

사용자 환경에서 배포 단계가 시작되면 부팅 가능한 미디어를 업데이트하는 것이 중요합니다.

부팅 가능한 미디어를 업데이트하기 위한 지침은 이 문서의 향후 업데이트와 함께 제공됩니다. 디바이스를 복구하기 위한 USB 썸 드라이브를 만들려면 다음 섹션을 참조하세요.

Windows 설치 미디어 업데이트

다음 단계에 따라 복구 드라이브 만들기 애플리케이션을 사용할 수 있습니다. 이 미디어를 사용하여 하드웨어 오류와 같은 주요 문제가 있는 경우 복구 드라이브를 사용하여 Windows를 다시 설치할 수 있습니다.

1. 2024년 7월 9일 업데이트 및 첫 번째 완화 단계(보안 부팅 DB 업데이트)가 적용된 장치로 이동합니다.

2. 시작 메뉴에서 "복구 드라이브 만들기" 제어판 애플릿을 검색하고 지침에 따라 복구 드라이브를 만듭니다.

3. 새로 만든 플래시 드라이브가 탑재된 상태에서(예: 드라이브 "D:") 관리자 권한으로 다음 명령을 실행합니다. 다음 명령을 각각 입력한 다음 Enter 키를 누릅니다.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

동적 업데이트를 사용하여 Windows 설치 미디어 업데이트 지침을 사용하여 사용자 환경에서 설치 가능한 미디어를 관리하는 경우 다음 단계를 수행합니다. 이러한 추가 단계에서는 "Windows UEFI CA 2023" 서명 인증서로 서명된 부팅 파일을 사용하는 부팅 가능한 플래시 드라이브를 만듭니다.

1. 2024년 7월 9일 업데이트 및 첫 번째 완화 단계(보안 부팅 DB 업데이트)가 적용된 장치로 이동합니다.

2. 아래 링크의 단계에 따라 2024년 7월 9일 업데이트로 미디어를 만듭니다. 동적 업데이트를 사용하여 Windows 설치 미디어 업데이트https://learn.microsoft.com/windows/deployment/update/media-dynamic-update

3. 미디어의 내용을 USB 썸 드라이브에 놓고 썸 드라이브를 드라이브 문자로 탑재합니다. 예를 들어 썸 드라이브를 "D:"로 탑재합니다.

4. 관리자 권한으로 명령 창에서 다음 명령을 실행합니다. 다음 명령을 각각 입력한 다음 Enter 키를 누릅니다.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

완화를 적용한 후 장치에 보안 부팅 설정이 기본값으로 다시 설정되면 장치가 부팅되지 않습니다. 이 문제를 해결하기 위해 "Windows UEFI CA 2023" 인증서를 DB에 다시 적용하는 데 사용할 수 있는 복구 애플리케이션이 2024년 7월 9일 업데이트에 포함되어 있습니다(완화 #1).

1. 2024년 7월 9일 업데이트가 적용된 장치로 이동합니다.

2. 명령 창에서 다음 명령을 사용하여 복구 앱을 플래시 드라이브에 복사합니다(플래시 드라이브가 "D:" 드라이브라고 가정). 각 명령을 개별적으로 입력한 다음 Enter 키를 누릅니다.

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. 보안 부팅 설정이 기본값으로 재설정된 장치에서 플래시 드라이브를 삽입하고, 장치를 다시 시작하고, 플래시 드라이브에서 부팅합니다.

업데이트 시기

업데이트는 다음과 같이 릴리스됩니다.

• 초기 배포 단계 이 단계는 2023년 5월 9일에 릴리스된 업데이트로 시작되었으며 이러한 완화를 활성화하기 위한 수동 단계와 함께 기본 완화를 제공했습니다.

• 두 번째 배포 단계 이 단계는 2023년 7월 11일에 출시된 업데이트로 시작되었으며, 이 업데이트에는 문제 완화를 활성화하는 단순화된 단계가 추가되었습니다.

• 평가 단계 이 단계는 2024년 4월 9일부터 시작되며 부팅 관리자 완화를 추가합니다.

• 배포 단계 이때 모든 고객에게 완화 및 미디어 업데이트를 시작하도록 권장합니다.

• 적용 단계 완화를 영구적으로 만드는 적용 단계입니다. 이 단계의 날짜는 나중에 발표될 예정입니다.

참고 릴리스 일정은 필요에 따라 수정될 수 있습니다.

CVE-2023-24932와 관련된 Windows 이벤트 로그 오류

DB 및 DBX 업데이트와 관련된 Windows 이벤트 로그 항목은 KB5016061:보안 부팅 DB 및 DBX 변수 업데이트 이벤트에 자세히 설명되어 있습니다.

완화 적용과 관련된 "성공" 이벤트는 다음 표에 나와 있습니다.

자주 묻는 질문(FAQ)

부팅 문제 해결

세 가지 완화가 모두 적용된 후에는 Windows Production PCA 2011에서 서명한 부팅 관리자를 사용하여 장치 펌웨어가 부팅되지 않습니다. 펌웨어에서 보고한 부팅 오류는 장치별로 다릅니다. 복구 절차 섹션을 참조하세요.

복구 절차

완화를 적용하는 중에 문제가 발생하여 장치를 시작할 수 없거나 외부 미디어(예: 썸 드라이브 또는 PXE 부팅)에서 시작해야 하는 경우 다음 제안을 시도해 보세요.

1. 보안 부팅을 끕니다.
   
   이 프로시저는 장치 제조업체와 모델 간에 다릅니다. 장치 UEFI BIOS 메뉴로 들어가 보안 부팅 설정으로 이동하여 보안 부팅을 끕니다. 이 프로세스에 관한 자세한 내용은 디바이스 제조업체의 설명서를 확인하세요. 자세한 내용은 보안 부팅 사용 안 함에서 확인할 수 있습니다.

2. 보안 부팅 키를 공장 기본값으로 다시 설정합니다.

   장치에서 보안 부팅 키를 공장 기본값으로 다시 설정하는 것을 지원하는 경우 지금 이 작업을 수행합니다.

   참고 일부 장치 제조업체에는 보안 부팅 변수에 대해 "지우기" 및 "초기화" 옵션이 둘 다 있습니다. 이 경우 "재설정"을 사용해야 합니다. 목표는 보안 부팅 변수를 제조업체 기본값으로 되돌리는 것입니다.

   장치는 지금 시작해야 하지만 부팅 키트 맬웨어에 취약합니다. 보안 부팅을 다시 사용하도록 설정하려면 이 복구 프로세스의 5단계를 완료해야 합니다.

3. 시스템 디스크에서 Windows를 시작합니다.

   1. Windows에 로그인합니다.

   2. 관리자 명령 프롬프트에서 다음 명령을 실행하여 EFI 시스템 부팅 파티션에서 부팅 파일을 복원합니다. 각 명령을 개별적으로 입력한 다음 Enter 키를 누릅니다.

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. BCDBoot를 실행하면 "부팅 파일이 성공적으로 생성되었습니다."가 반환됩니다. 이 메시지가 표시되면 장치를 Windows로 다시 시작합니다.

4. 3단계에서 장치를 복구하지 못한 경우 Windows를 다시 설치합니다.

   1. 기존 복구 미디어에서 장치를 시작합니다.

   2. 복구 미디어를 사용하여 Windows 설치를 진행합니다.

   3. Windows에 로그인합니다.

   4. Windows를 다시 시작하여 장치가 Windows로 다시 시작하는지 확인합니다.

5. 보안 부팅을 다시 사용하도록 설정하고 장치를 다시 시작합니다.
   
   장치 UEFI 메뉴로 들어가 보안 부팅 설정으로 이동하여 보안 부팅을 켭니다. 이 프로세스에 관한 자세한 내용은 디바이스 제조업체의 설명서를 확인하세요. 자세한 내용은 "보안 부팅 다시 사용" 섹션에서 확인할 수 있습니다.

참조 문서

• CVE-2022-21894: BlackLotus 캠페인을 사용하여 공격을 조사하기 위한 지침

• 보안 부팅

• 등록된 Windows 디바이스에서 보안 부팅 사용

• DBX 업데이트를 적용할 때 생성되는 이벤트의 경우 KB5016061: 취약한 부팅 관리자 및 해지된 부팅 관리자 해결을 참조하세요.