KB5025885. Kā pārvaldīt Windows sāknēšanas pārvaldnieka atsaukšanas drošās palaišanas izmaiņas, kas saistītas ar CVE-2023-24932

Šajā rakstā

• Kopsavilkums

  • Rīcība

  • Ietekmes tvērums

  • Risku izpratne

  • Zināmās problēmas

• Norādījumi par šo laidienu

• .

• Sāknēšanas datu nesējs

• Windows instalēšanas datu nesēja atjaunināšana

• Atjauninājumu hronometrāža

• Windows notikumu žurnāla kļūdas saistībā ar CVE-2023-24932

• Bieži uzdotie jautājumi (bieži uzdotie jautājumi)

• Sāknēšanas problēmu novēršana

• Atkopšanas procedūra

• Uzziņas

• Izmaiņu žurnāls

Kopsavilkums

Šajā rakstā ir aprakstīta aizsardzība pret publiski pieejamu drošās sāknēšanas drošības līdzekli, kas izmanto BlackLotus UEFI bootkit, ko reģistrējis CVE-2023-24932, kā nodrošināt atvieglojumus un norādījumus par sāknējamo datu nesēju. Sāknēšanas programma ir ļaunprātīga programma, kas ir izstrādāta pēc iespējas ātrāk ielādēt ierīces startēšanas secībā, lai kontrolētu operētājsistēmas startēšanu.

Secure Boot ir ieteicams izmantot korporācija Microsoft, lai izveidotu drošu un uzticamu ceļu no vienotās paplašināmā aparātprogrammatūras interfeisa (Untensible Firmware Interface — UEFI), izmantojot Windows kernel Trusted Boot secību. Drošā palaišana palīdz novērst sāknēšanas ļaunprogrammatūru palaišanas secībā. Atspējojot drošo sāknēšanas programmu, pastāv risks, ka tā tika inficēta ar bootkit ļaunprogrammatūru. Lai izlabotu CVE-2023-24932 aprakstīto drošas sāknēšanas apiešanu, ir jālabo sāknēšanas pārvaldnieki. Tas var izraisīt problēmas dažās ierīces sāknēšanas konfigurācijās.

2023.–24932. gada versijā detalizētie drošās sāknēšanas apiešanas paņēmieni ir iekļauti Windows drošības atjauninājumos, kas izlaisti 2024. gada 9. jūlijā vai pēc tam. Tomēr šie atvieglojumus nav iespējotas pēc noklusējuma. Ar šiem atjauninājumiem ieteicams sākt novērtēt šīs izmaiņas savā vidē. Pilns grafiks ir aprakstīts sadaļā Atjauninājumu hronometrāža .

Pirms šo risku mazināšanas iespējošanas rūpīgi pārskatiet šajā rakstā detalizēto informāciju un nosakiet, vai ir jāiespējo atvieglojumus vai jāgaida atjauninājums no Microsoft vēlāk. Ja izvēlaties iespējot riskus, jums jāpārbauda, vai jūsu ierīces ir atjauninātas un gatavas, un jāizprot šajā rakstā aprakstītie riski. 

Norādījumi par šo laidienu

Šajā laidienā veiciet abas šīs darbības.

1. darbība. Windows drošības atjauninājuma instalēšana

Instalējiet Windows ikmēneša drošības atjauninājumu, kas izlaists 2024. gada 9. jūlijā vai pēc jūlija, atbalstītās Windows ierīcēs. Šie atjauninājumi ietver riskus, kas attiecas uz CVE-2023-24932, bet pēc noklusējuma nav iespējoti. Visām Windows ierīcēm ir jāveic šī darbība neatkarīgi no tā, vai plānojat ieviest atvieglojumus.

2. darbība. Izmaiņu izvērtēšana

Iesakām veikt tālāk norādītās darbības.

• Izprast pirmos divus riskus, kas ļauj atjaunināt Secure Boot DB un atjaunināt sāknēšanas pārvaldnieku.

• Pārskatiet atjaunināto grafiku.

• Sāciet testēt pirmos divus riskus, salīdzinot ar ierīces, kas ir no jūsu vides.

• Sāciet izvietošanas plānošanu.

3. darbība. Izmaiņu veikšana

Mēs iesakām izprast riskus, kas izklāstīti sadaļā Riski.

• Izprast atkopšanas un citu sāknējamo datu nesēju ietekmi.

• Sāciet testēt trešo risku, kas neuzticas parakstīšanas sertifikātam, kas izmantots visiem iepriekšējiem Windows sāknēšanas pārvaldniekiem.

.

Pirms šo darbību veikšanas, lai lietotu riskus, instalējiet Windows ikmēneša apkalpošanas atjauninājumu, kas izlaists 2024. gada 9. jūlijā vai pēc jūlija, atbalstītās Windows ierīcēs. Šajā atjauninājumā ir iekļautas CVE-2023-24932 risku mazināšanas, bet tās pēc noklusējuma nav iespējotas. Visām Windows ierīcēm ir jāveic šī darbība neatkarīgi no jūsu plāna, lai iespējotu atvieglojumus.

Lai izvietotu atjauninājumu un lietotu atsaukšanas, veiciet tālāk norādītās darbības.

1. Db instalējiet atjauninātās sertifikātu definīcijas.

   Ar šo darbību UEFI "Secure Boot Signature Database" (DB) tiks pievienots "Windows UEFI CA 2023" sertifikāts. Pievienojot šo sertifikātu DB, ierīces aparātprogrammatūra uzticēsies palaišanas lietojumprogrammām, kuras parakstījīs šis sertifikāts.

   1. Atveriet administratora komandu uzvedni un iestatiet regkey, lai veiktu atjaunināšanu uz DB, ievadot šādu komandu:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      SVARĪGS Pirms turpināt veikt 2. un 3. darbību, noteikti restartējiet ierīci divas reizes, lai pabeigtu atjauninājuma instalēšanu.

   2. Palaidiet tālāk norādīto PowerShell komandu kā administrators un pārbaudiet, vai DB ir sekmīgi atjaunināts. Šai komandai ir jāatgriež vērtība True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Atjauniniet sāknēšanas pārvaldnieku savā ierīcē.

   Šī darbība instalēs palaišanas pārvaldnieka lietojumprogrammu jūsu ierīcē, kas ir parakstīta ar sertifikātu "Windows UEFI CA 2023".

   1. Atveriet administratora komandu uzvedni un iestatiet regkey, lai instalētu "Windows UEFI CA 2023" parakstītu palaišanas pārvaldnieku:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Divas reizes restartējiet ierīci.

   3. Kā administrators kalns EFI nodalījums, lai sagatavotos pārbaudei:

      mountvol s: /s

   4. Pārbaudiet, vai failu "s:\efi\microsoft\boot\bootmgfw.efi" ir parakstījis sertifikāts "Windows UEFI CA 2023". Lai to izdarītu, veiciet tālāk norādītās darbības.

      1. Noklikšķiniet uz Sākt, meklēšanas lodziņā ierakstiet komandu uzvedne un pēc tam noklikšķiniet uz Komandu uzvedne.

      2. Komandu uzvednes logā ierakstiet šo komandu un pēc tam nospiediet taustiņu Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. Failu pārvaldniekā ar peles labo pogu noklikšķiniet uz faila C:\bootmgfw_2023.efi, noklikšķiniet uz Rekvizīti un pēc tam atlasiet cilni Ciparparaksti .

      4. Sarakstā Paraksts pārliecinieties, ka sertifikātu ķēde ietver Windows UEFI CA 2023. Sertifikātu ķēdei jāatbilst šādam ekrānuzņēmumam:
         
         

3. Iespējojiet atsaukšanas opciju.

   UEFI Forbidden List (DBX) tiek izmantots, lai bloķētu neuzticamus UEFI moduļus no ielādes. Šajā darbībā atjauninot DBX, DBX tiks pievienots sertifikāts "Windows Production CA 2011". Tādējādi visi ar šo sertifikātu parakstītie sāknēšanas pārvaldnieki vairs nebūs uzticami.

   BRĪDINĀJUMS Pirms trešās risku mazināšanas lietošanas izveidojiet atkopšanas zibatmiņas disku, ko var izmantot sistēmas palaišanai. Informāciju, kā to paveikt, skatiet sadaļā Windows instalēšanas multivides atjaunināšana.

   Ja jūsu sistēma kļūst tādā stāvoklī, kas nav sāknējams, izpildiet atkopšanas procedūras sadaļā norādītās darbības, lai ierīci atiestatītu uz iepriekšēju atsaukšanas stāvokli.

   1. Pievienojiet sertifikātu "Windows Production PCA 2011" drošas palaišanas UEFI aizliegts sarakstam (DBX). Lai to izdarītu, atveriet komandu uzvednes logus kā administrators, ierakstiet šo komandu un pēc tam nospiediet taustiņu Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Divas reizes restartējiet ierīci un pārliecinieties, vai tā ir pilnībā restartēta.

   3. Pārbaudiet, vai instalēšanas un atsaukšanas saraksts tika sekmīgi lietots, meklējot notikumu 1037 notikumu žurnālā.
      
      Informāciju par Notikumu 1037 skatiet rakstā KB5016061: Secure Boot DB un DBX mainīgo atjaunināšanas notikumi. Vai arī izpildiet tālāk norādīto PowerShell komandu kā administrators un pārliecinieties, vai tā atgriež vērtību True:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) — atbilstības "Microsoft Windows Production PCA 2011" 

4. Aparātprogrammatūrai lietojiet SVN atjauninājumu.
   
   2. darbībā izvietotajā palaišanas pārvaldniekā ir iebūvēts jauns paš atsaukšanas līdzeklis. Kad sāk darboties sāknēšanas pārvaldnieks, tas veic patstāvīgu pārbaudi, salīdzinot aparātprogrammatūru saglabāto drošās versijas numuru (SVN), ar sāknēšanas pārvaldniekā iebūvēto SVN. Ja sāknēšanas pārvaldnieks SVN ir zemāks nekā APARĀTPROGRAMMAtūras SVN, Sāknēšanas pārvaldnieks noraida darbību. Šis līdzeklis neļauj uzbrucējam atritt sāknēšanas pārvaldnieku uz vecāku, neatjauninatu versiju.
   
   Turpmākajos atjauninājumos, kad sāknēšanas pārvaldniekā tiek novērsta būtiska drošības problēma, SVN skaitlis tiks palielināts gan sāknēšanas pārvaldniekā, gan aparātprogrammatūras atjauninājumā. Abi atjauninājumi tiks izlaisti tajā pašā kumulatīvajā atjauninājumā, lai nodrošinātu, ka ielāpētas ierīces ir aizsargātas. Ikreiz, kad SVN tiek atjaunināts, būs jāatjaunina visi sāknēšanas datu nesēji.
   
   Sākot ar 2024. gada 9. jūliju, atjauninājumos SVN tiek palielināts sāknēšanas pārvaldniekā un aparātprogrammatūras atjauninājums. Aparātprogrammatūras atjauninājums nav obligāts, un to var lietot, veicot tālāk norādītās darbības.

   1. Atveriet administratora komandu uzvedni un izpildiet šādu komandu, lai instalētu "Windows UEFI CA 2023" parakstītu palaišanas pārvaldnieku:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. Divas reizes restartējiet ierīci.

Sāknēšanas datu nesējs

Pēc izvietošanas posma sākuma vidē ir svarīgi atjaunināt sāknēšanas datu nesēju.

Norādījumi par sāknēšanas multivides atjaunināšanu būs pieejami turpmākajos šī raksta atjauninājumos. Skatiet nākamo sadaļu, lai izveidotu USB zibatmiņas disku ierīces atkopšanai.

Windows instalēšanas datu nesēja atjaunināšana

Varat izmantot atkopšanas diska izveides lietojumprogrammu , veicot tālāk norādītās darbības. Šo datu nesēju var izmantot, lai atkārtoti instalētu ierīci, ja rodas liela problēma, piemēram, aparatūras kļūme, varēsit izmantot atkopšanas disku, lai atkārtoti instalētu operētājsistēmu Windows.

1. Dodieties uz ierīci, kurā tika lietots 2024. gada 9. jūlija atjauninājums un pirmā riska mazināšanas darbība (drošās sāknēšanas DB atjaunināšana).

2. Sākuma izvēlnē meklējiet vadības paneļa "Atkopšanas diska izveide" sīklietotni un izpildiet norādījumus, lai izveidotu atkopšanas disku.

3. Kad jaunizveidotais zibatmiņas disks ir uzstādāms (piemēram, kā disks "D:"), kā administrators izpildiet šādas komandas. Ierakstiet katru no šīm komandām un pēc tam nospiediet taustiņu Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Ja savā vidē pārvaldāt instalējamu datu nesēju, izmantojot Windows instalēšanas datu nesēja atjaunināšanu ar dinamiskās atjaunināšanas norādījumiem, veiciet tālāk norādītās darbības. Šīs papildu darbības ļaus izveidot sāknējamu zibatmiņas disku, kurā tiek izmantoti sāknējam faili, ko parakstījis parakstīšanas sertifikāts "Windows UEFI CA 2023".

1. Dodieties uz ierīci, kurā tika lietots 2024. gada 9. jūlijs, atjauninājumi un pirmā riska mazināšanas darbība (drošās sāknēšanas DB atjaunināšana).

2. Izpildiet tālāk redzamajā saiti, lai izveidotu multivides failus, izmantojot 2024. gada 9. jūlija atjauninājumus. Windows instalācijas datu nesēja atjaunināšana, izmantojot dinamisko atjaunināšanu

3. Novietojiet multivides saturu USB zibatmiņas diskā un pievienojiet zibatmiņas disku kā diska burtu. Piemēram, kalnā kalns ir jādublē kā "D:".

4. Palaidiet tālāk norādītās komandas komandu logā kā administrators. Ierakstiet katru no šīm komandām un pēc tam nospiediet taustiņu Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Ja pēc risku mazināšanas pasākumu novēršanas ierīcei tiek atiestatīti drošās sāknēšanas iestatījumi, ierīce netiks palaista. Lai novērstu šo problēmu, labošanas lietojumprogramma ir iekļauta 2024. gada 9. jūlija atjauninājumos, ko var izmantot, lai db tiktu atkārtoti lietota sertifikāta "Windows UEFI CA 2023" (risku mazināšana #1).

1. Dodieties uz ierīci, kurā ir lietoti 2024. gada 9. jūlija atjauninājumi.

2. Komandu logā kopējiet atkopšanas programmu zibatmiņas diskā, izmantojot tālāk norādītās komandas (pieņemot, ka zibatmiņas disks ir diskdzinis D:). Ierakstiet katru komandu atsevišķi un pēc tam nospiediet taustiņu Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Ierīcē, kurā ir drošās sāknēšanas iestatījumi, tiek atiestatīti uz noklusējuma iestatījumiem: ievietojiet zibatmiņas disku, restartējiet ierīci un startējiet no zibatmiņas diska.

Atjauninājumu hronometrāža

Atjauninājumi tiek izlaisti šādi:

• Sākotnējā izvietošana Šajā posmā tika sākta atjaunināšana, kas izlaista 2023. gada 9. maijā, un sniegtas pamata risku mazināšanas darbības, izmantojot manuālas darbības, lai iespējotu šo risku.

• Otrā izvietošana Šajā posmā tika sākts ar 2023. gada 11. jūlijā izlaistajiem atjauninājumiem, kuros pievienotas vienkāršotas darbības, lai iespējotu problēmas risku mazināšanas pasākumus.

• Novērtēšanas fāze Šis posms sāksies 2024. gada 9. aprīlī un pievienos papildu sāknēja pārvaldnieka riskus.

• Izvietošanas posms Šajā gadījumā mēs rosināsim visus klientus sākt izmantot atvieglojumus un atjaunināt multividi.

• Ieviešanas posms Ieviešanas posms, kas padara riskus pastāvīgus. Šī posma datums tiks paziņots vēlāk.

Piezīme Pēc nepieciešamības laidiena grafiku var pārskatīt.

Windows notikumu žurnāla kļūdas saistībā ar CVE-2023-24932

Ar DB un DBX atjaunināšanu saistītie Windows notikumu žurnāla ieraksti ir detalizēti aprakstīti rakstā KB5016061: Secure Boot DB un DBX mainīgo atjaunināšanas notikumi.

"Izdošanās" notikumi, kas saistīti ar risku mazināšanas pasākumu šanu, ir norādīti tālāk tabulā.

Bieži uzdotie jautājumi (bieži uzdotie jautājumi)

Sāknēšanas problēmu novēršana

Pēc tam, kad ir pielietotas visas trīs risku mazināšanas programmas, ierīces aparātprogrammatūra netiks palaista, izmantojot sāknēšanas pārvaldnieku, ko parakstīja Windows Production PCA 2011. Aparātprogrammatūras uzrādītās sāknēšanas kļūmes ir raksturīgas ierīcēm. Skatiet sadaļu Atkopšanas procedūra.

Atkopšanas procedūra

Ja, lietojot riskus, kaut kas nav kārtībā un nevarat startēt ierīci vai ir nepieciešams sākt darbu ar ārēju multividi (piemēram, zibatmiņa vai PXE sāknēšana), izmēģiniet tālāk norādītos ieteikumus.

1. Izslēdziet drošo sāknēšanas sistēmu.
   
   Dažādām ierīču ražotājiem un modeļiem šī procedūra atšķiras. Ievadiet savas ierīces UEFI BIOS izvēlni un naviģējiet uz drošās palaišanas iestatījumiem un izslēdziet to. Skatiet ierīces ražotāja dokumentāciju, lai iegūtu konkrētu informāciju par šo procesu. Papildinformācija ir pieejama lodziņā Drošās sāknēšanas atspējošana.

2. Atiestatiet drošas sāknēšanas taustiņu rūpnīcas noklusējumus.

   Ja ierīce atbalsta drošo sāknēšanas taustiņu atiestatīšanu uz rūpnīcas noklusējuma iestatījumiem, veiciet šo darbību tūlīt.

   PIEZĪME Dažiem ierīču ražotājiem ir gan mainīgo "Clear" (Notīrīt), gan "Reset" (Atiestatīt) opcija drošas sāknēšanas mainīgajiem, un šādā gadījumā jāizmanto opcija "Reset" (Atiestatīt). Mērķis ir novietot drošās sāknēšanas mainīgos atpakaļ uz ražotājiem noklusējuma vērtībām.

   Tagad ierīcei ir jāsākas, bet ņemiet vērā, ka tā ir neaizsargāta pret sāknēšanas komplekta ļaunprogrammatūru. Pārliecinieties, vai esat pabeidzis šī atkopšanas procesa 5. darbību, lai atkārtoti iespējotu drošo sāknēšanas procesu.

3. Mēģiniet startēt Windows no sistēmas diska.

   1. Piesakieties sistēmā Windows.

   2. Izpildiet tālāk norādītās komandas administratora komandu uzvednē, lai atjaunotu sāknēšanas failus EFI sistēmas sāknēšanas nodalījumā. Ierakstiet katru komandu atsevišķi un pēc tam nospiediet taustiņu Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Palaižot BCDBoot, tiek atgriezts "Sekmīgi izveidoti sāknfaili". Kad tiek parādīts šis ziņojums, restartējiet ierīci atpakaļ sistēmā Windows.

4. Ja 3. darbība nevar sekmīgi atkopt ierīci, atkārtoti instalējiet sistēmu Windows.

   1. Startējiet ierīci no esoša atkopšanas datu nesēja.

   2. Turpiniet instalēt Windows, izmantojot atkopšanas datu nesēju.

   3. Piesakieties sistēmā Windows.

   4. Restartējiet sistēmu Windows, lai pārbaudītu, vai ierīce tiek startēta atpakaļ sistēmā Windows.

5. Atkārtoti iespējojiet drošo sāknēšanas programmu un restartējiet ierīci.
   
   Ievadiet ierīces UEFI izvēlni, naviģējiet uz drošās sāknēšanas iestatījumiem un ieslēdziet to. Skatiet ierīces ražotāja dokumentāciju, lai iegūtu konkrētu informāciju par šo procesu. Papildinformācija ir atrodama sadaļā "Drošās sāknēšanas atkārtota iespējošana".

Uzziņas

• Norādījumi par uzbrukumu izpēti, izmantojot CVE-2022-21894: BlackLotus kampaņu

• Droša palaišana

• Drošās sāknēšanas iespējošana reģistrētajās Windows ierīcēs

• Notikumus, kas tiek ģenerēti, lietojot DBX atjauninājumus, skatiet rakstā KB5016061: Neaizsargātu un atsauktu sāknēšanas pārvaldnieku adresēšana.