KB5025885: De intrekkingen van Windows Boot Manager beheren voor wijzigingen in beveiligd opstarten die zijn gekoppeld aan CVE-2023-24932

In dit artikel

• Samenvatting

  • Actie ondernemen

  • Bereik van impact

  • Inzicht in de risico's

  • Bekende problemen

• Richtlijnen voor deze release

• Richtlijnen voor implementatie van risicobeperking

• Opstartbare media

• Windows-installatiemedia bijwerken

• Timing van updates

• Windows-gebeurtenislogboekfouten met betrekking tot CVE-2023-24932

• Veelgestelde vragen (FAQ)

• Opstartproblemen oplossen

• Herstelprocedure

• Naslagwerken

• Wijzigingslogboek

Samenvatting

In dit artikel wordt de beveiliging beschreven tegen de openbaar bekendgemaakte beveiligingsfunctie voor beveiligd opstarten die gebruikmaakt van de BlackLotus UEFI-bootkit die wordt bijgehouden door CVE-2023-24932, hoe u de risicobeperkingen inschakelt en richtlijnen voor opstartbare media. Een bootkit is een schadelijk programma dat is ontworpen om zo vroeg mogelijk in een opstartvolgorde van een apparaat te laden om het starten van het besturingssysteem te beheren.

Beveiligd opstarten wordt aanbevolen door Microsoft om een veilig en vertrouwd pad te maken van de Unified Extensible Firmware Interface (UEFI) via de Windows-kernel vertrouwde opstartvolgorde. Beveiligd opstarten helpt bij het voorkomen van bootkit-malware in de opstartvolgorde. Als u Beveiligd opstarten uitschakelt, loopt een apparaat het risico te worden geïnfecteerd met bootkit-malware. Voor het oplossen van de secure boot-bypass beschreven in CVE-2023-24932 moeten opstartmanagers worden ingeleid. Dit kan problemen veroorzaken voor sommige opstartconfiguraties van apparaten.

Risicobeperkingen voor het omzeilen van beveiligd opstarten zoals beschreven in CVE-2023-24932 zijn opgenomen in de Windows-beveiligingsupdates die zijn uitgebracht op of na 9 juli 2024. Deze oplossingen zijn echter niet standaard ingeschakeld. Met deze updates wordt u aangeraden deze wijzigingen binnen uw omgeving te evalueren. Het volledige schema wordt beschreven in de sectie Tijdsinstellingen van updates .

Voordat u deze oplossingen inschakelt, moet u de details in dit artikel grondig doornemen en bepalen of u de risicobeperkingen moet inschakelen of moet wachten op een toekomstige update van Microsoft. Als u ervoor kiest om de risicobeperkingen in te schakelen, moet u controleren of uw apparaten zijn bijgewerkt en gereed zijn en de risico's begrijpen die in dit artikel worden beschreven. 

Richtlijnen voor deze release

Voer voor deze release de volgende twee stappen uit.

Stap 1: De Windows-beveiligingsupdate

installeren Installeer de maandelijkse beveiligingsupdate voor Windows die is uitgebracht op of na 9 juli 2024 op ondersteunde Windows-apparaten. Deze updates bevatten oplossingen voor CVE-2023-24932, maar zijn niet standaard ingeschakeld. Alle Windows-apparaten moeten deze stap voltooien, ongeacht of u van plan bent om de risicobeperkingen te implementeren.

Stap 2: de wijzigingen

evalueren We raden u aan het volgende te doen:

• Inzicht in de eerste twee oplossingen die het bijwerken van de Secure Boot-database en het bijwerken van opstartbeheer mogelijk maken.

• Bekijk het bijgewerkte schema.

• Begin met het testen van de eerste twee risicobeperkingen voor representatieve apparaten uit uw omgeving.

• Begin met het plannen van de implementatie.

Stap 3: de wijzigingen afdwingen

We raden u aan om inzicht te krijgen in de risico's die worden beschreven in de sectie Inzicht in de risico's.

• Inzicht in de impact op herstel en andere opstartbare media.

• Begin met het testen van de derde beperking waardoor het ondertekeningscertificaat dat wordt gebruikt voor alle vorige Windows-opstartmanagers, wordt ontkoppeld.

Richtlijnen voor implementatie van risicobeperking

Voordat u deze stappen voor het toepassen van de risicobeperkingen uitvoert, installeert u de maandelijkse onderhoudsupdate van Windows die is uitgebracht op of na 9 juli 2024 op ondersteunde Windows-apparaten. Deze update bevat oplossingen voor CVE-2023-24932, maar deze zijn niet standaard ingeschakeld. Alle Windows-apparaten moeten deze stap voltooien, ongeacht uw plan om de risicobeperkingen in te schakelen.

Voer de volgende stappen uit om de update te implementeren en de intrekkingen toe te passen:

1. Installeer de bijgewerkte certificaatdefinities in de database.

   In deze stap wordt het certificaat 'Windows UEFI CA 2023' toegevoegd aan de UEFI 'Secure Boot Signature Database' (DB). Door dit certificaat toe te voegen aan de database, vertrouwt de firmware van het apparaat op opstarttoepassingen die door dit certificaat zijn ondertekend.

   1. Open een administrator-opdrachtprompt en stel de regkey in om de update uit te voeren naar DB door de volgende opdracht in te voeren:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      BELANGRIJK Start het apparaat twee keer opnieuw op om de installatie van de update te voltooien voordat u verdergaat met stap 2 en 3.

   2. Voer de volgende PowerShell-opdracht uit als beheerder en controleer of de database is bijgewerkt. Met deze opdracht moet True worden geretourneerd.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Werk Opstartbeheer op uw apparaat bij.

   Met deze stap wordt een opstartbeheertoepassing op uw apparaat geïnstalleerd die is ondertekend met het certificaat ''Windows UEFI CA 2023'.

   1. Open een administrator-opdrachtprompt en stel de regkey in om het door Windows UEFI CA 2023 ondertekende opstartbeheer te installeren:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Start het apparaat twee keer opnieuw op.

   3. Koppel als beheerder de EFI-partitie om deze klaar te maken voor inspectie:

      mountvol s: /s

   4. Controleer of het bestand 's:\efi\microsoft\boot\bootmgfw.efi' is ondertekend door het certificaat 'Windows UEFI CA 2023'. Ga hiervoor als volgt te werk:

      1. Klik op Start, typ opdrachtprompt in het vak Zoeken en klik vervolgens op Opdrachtprompt.

      2. Typ in het opdrachtpromptvenster de volgende opdracht en druk op Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. Klik in Bestandsbeheer met de rechtermuisknop op het bestand C:\bootmgfw_2023.efi, klik op Eigenschappen en selecteer vervolgens het tabblad Digitale handtekeningen .

      4. Controleer in de lijst Handtekening of de certificaatketen Windows UEFI CA 2023 bevat. De certificaatketen moet overeenkomen met de volgende schermopname:
         
         

3. Schakel de intrekking in.

   De UEFI Forbidden List (DBX) wordt gebruikt om het laden van niet-vertrouwde UEFI-modules te blokkeren. In deze stap wordt bij het bijwerken van de DBX het certificaat 'Windows Production CA 2011' toegevoegd aan de DBX. Hierdoor worden alle opstartmanagers die door dit certificaat zijn ondertekend, niet meer vertrouwd.

   WAARSCHUWING: Voordat u de derde beperking toepast, maakt u een herstel flashstation dat kan worden gebruikt om het systeem op te starten. Zie de sectie Windows-installatiemedia bijwerken voor informatie hierover.

   Als uw systeem een niet-opstartbare status krijgt, volgt u de stappen in de sectie Herstelprocedure om het apparaat terug te zetten naar een status van vóór intrekking.

   1. Voeg het certificaat 'Windows Production PCA 2011' toe aan de Secure Boot UEFI Forbidden List (DBX). Hiervoor opent u een opdrachtpromptvenster als beheerder, typt u de volgende opdracht en drukt u op Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Start het apparaat twee keer opnieuw op en controleer of het volledig opnieuw is opgestart.

   3. Controleer of de installatie- en intrekkingslijst is toegepast door te zoeken naar gebeurtenis 1037 in het gebeurtenislogboek.
      
      Zie voor meer informatie over gebeurtenis 1037 KB5016061: Updategebeurtenissen van Secure Boot DB en DBX-variabele. Of voer de volgende PowerShell-opdracht uit als administrator en zorg ervoor dat deze Waar retourneert:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011' 

4. Pas de SVN-update toe op de firmware.
   
   De Boot Manager die is geïmplementeerd in stap 2, heeft een nieuwe functie voor zelfintrekking ingebouwd. Wanneer Opstartbeheer wordt uitgevoerd, wordt een zelfcontrole uitgevoerd door het beveiligde versienummer (SVN) dat is opgeslagen in de firmware te vergelijken met de SVN die is ingebouwd in Opstartbeheer. Als de SVN van Boot Manager lager is dan de SVN die is opgeslagen in de firmware, weigert Boot Manager om uit te voeren. Deze functie voorkomt dat een aanvaller opstartbeheer terugdraait naar een oudere, niet-bijgewerkte versie.
   
   Wanneer in toekomstige updates een aanzienlijk beveiligingsprobleem is opgelost in Boot Manager, wordt het SVN-nummer verhoogd in zowel Boot Manager als de update naar de firmware. Beide updates worden uitgebracht in dezelfde cumulatieve update om ervoor te zorgen dat gepatchte apparaten worden beveiligd. Telkens wanneer de SVN wordt bijgewerkt, moeten alle opstartbare media worden bijgewerkt.
   
   Vanaf de updates van 9 juli 2024 wordt de SVN in Boot Manager verhoogd en de firmware bijgewerkt. De firmware-update is optioneel en kan worden toegepast door de volgende stappen uit te voeren:

   1. Open een administrator-opdrachtprompt en voer de volgende opdracht uit om het door Windows UEFI CA 2023 ondertekende opstartbeheer te installeren:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. Start het apparaat twee keer opnieuw op.

Opstartbare media

Het is belangrijk om opstartbare media bij te werken zodra de implementatiefase in uw omgeving begint.

Richtlijnen voor het bijwerken van opstartbare media worden geleverd met toekomstige updates van dit artikel. Zie de volgende sectie om een USB-stick te maken voor het herstellen van een apparaat.

Windows-installatiemedia bijwerken

U kunt de toepassing Herstelstation maken gebruiken door deze stappen uit te voeren. Dit medium kan worden gebruikt om een apparaat opnieuw te installeren in het geval er een groot probleem is, zoals een hardwarestoring, kunt u het herstelstation gebruiken om Windows opnieuw te installeren.

1. Ga naar een apparaat waarop de updates van 9 juli 2024 en de eerste risicobeperkingsstap (het bijwerken van de Secure Boot DB) zijn toegepast.

2. Zoek in het Startmenu naar de applet van het configuratiescherm 'Een herstelstation maken' en volg de instructies om een herstelstation te maken.

3. Terwijl het zojuist gemaakte flashstation is gekoppeld (bijvoorbeeld als station 'D:'), voert u de volgende opdrachten uit als beheerder. Typ elk van de volgende opdrachten en druk op Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Als u installeerbare media in uw omgeving beheert met behulp van de windows-installatiemedia bijwerken met dynamische updates , volgt u deze stappen. Met deze extra stappen wordt een opstartbaar flashstation gemaakt dat gebruikmaakt van opstartbestanden die zijn ondertekend door het handtekeningcertificaat 'Windows UEFI CA 2023'.

1. Ga naar een apparaat waarop de updates van 9 juli 2024 en de eerste risicobeperkingsstap (het bijwerken van de Secure Boot DB) zijn toegepast.

2. Volg de stappen in de onderstaande koppeling om media te maken met de updates van 9 juli 2024. Windows-installatiemedia bijwerken met dynamische update

3. Plaats de inhoud van het medium op een USB-stick en koppel het usb-station als een stationsletter. Koppel het usb-station bijvoorbeeld als 'D:'.

4. Voer de volgende opdrachten uit vanuit een opdrachtvenster als beheerder. Typ elk van de volgende opdrachten en druk op Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Als op een apparaat de instellingen voor beveiligd opstarten zijn ingesteld op de standaardwaarden na het toepassen van de oplossingen, wordt het apparaat niet opgestart. Om dit probleem op te lossen, is er een reparatietoepassing opgenomen in de updates van 9 juli 2024 die kunnen worden gebruikt om het certificaat 'Windows UEFI CA 2023' opnieuw toe te toepassing op de DB (risicobeperking #1).

1. Ga naar een apparaat waarop de updates van 9 juli 2024 zijn toegepast.

2. Kopieer in een opdrachtvenster de herstel-app naar het flashstation met behulp van de volgende opdrachten (ervan uitgaande dat het flashstation het station 'D:' is). Typ elke opdracht afzonderlijk en druk op Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Plaats het flashstation op het apparaat waarop de instellingen voor beveiligd opstarten opnieuw zijn ingesteld op de standaardinstellingen, plaats het flashstation, start het apparaat opnieuw op en start op vanaf het flashstation.

Timing van updates

Updates worden als volgt uitgebracht:

• Initiële implementatie Deze fase begon met updates die zijn uitgebracht op 9 mei 2023 en bood basisbeperkingen met handmatige stappen om deze risicobeperkingen in te schakelen.

• Tweede implementatie Deze fase begon met updates die zijn uitgebracht op 11 juli 2023, waarbij vereenvoudigde stappen zijn toegevoegd om de risicobeperkingen voor het probleem in te schakelen.

• Evaluatiefase Deze fase begint op 9 april 2024 en voegt extra opstartbeheerbeperkingen toe.

• Implementatiefase Dit is wanneer we alle klanten aanmoedigen om te beginnen met het implementeren van de risicobeperkingen en het bijwerken van media.

• Afdwingingsfase De afdwingingsfase die de risicobeperkingen permanent maakt. De datum voor deze fase wordt op een later tijdstip bekend gemaakt.

Opmerking Het releaseschema kan indien nodig worden herzien.

Windows-gebeurtenislogboekfouten met betrekking tot CVE-2023-24932

De vermeldingen in het Windows-gebeurtenislogboek met betrekking tot het bijwerken van de DB en DBX worden gedetailleerd beschreven in KB5016061: Updategebeurtenissen voor beveiligde opstartdatabase en DBX-variabele.

De 'geslaagde' gebeurtenissen met betrekking tot het toepassen van de risicobeperkingen worden vermeld in de volgende tabel.

Veelgestelde vragen (FAQ)

Opstartproblemen oplossen

Nadat alle drie de oplossingen zijn toegepast, wordt de apparaatfirmware niet opgestart met behulp van een opstartbeheer dat is ondertekend door Windows Production PCA 2011. De opstartfouten die door firmware worden gerapporteerd, zijn apparaatspecifiek. Raadpleeg de sectie Herstelprocedure .

Herstelprocedure

Als er iets misgaat tijdens het toepassen van de oplossingen en u uw apparaat niet kunt starten of als u moet starten vanaf externe media (zoals een usb-station of PXE-opstart), probeert u de volgende suggesties:

1. Schakel Beveiligd opstarten uit.
   
   Deze procedure verschilt per fabrikant en model. Voer het UEFI BIOS-menu van uw apparaten in, navigeer naar de instellingen voor beveiligd opstarten en schakel dit uit. Raadpleeg de documentatie van de fabrikant van uw apparaat voor meer informatie over dit proces. Meer informatie vindt u in Beveiligd opstarten uitschakelen.

2. Stel Sleutels voor beveiligd opstarten opnieuw in op de fabrieksinstellingen.

   Als het apparaat ondersteuning biedt voor het opnieuw instellen van de fabrieksinstellingen van de beveiligde opstartsleutels, voert u deze actie nu uit.

   NOTITIE Sommige apparaatfabrikanten hebben zowel een optie 'Wissen' als 'Opnieuw instellen' voor de variabelen Beveiligd opstarten, in welk geval 'Opnieuw instellen' moet worden gebruikt. Het doel is om de variabelen voor beveiligd opstarten terug te zetten op de standaardwaarden van de fabrikant.

   Uw apparaat moet nu worden gestart, maar houd er rekening mee dat het kwetsbaar is voor boot-kit-malware. Zorg ervoor dat u stap 5 van dit herstelproces voltooit om Beveiligd opstarten opnieuw in te schakelen.

3. Probeer Windows te starten vanaf de systeemschijf.

   1. Aanmelden bij Windows.

   2. Voer de volgende opdrachten uit vanaf een administrator-opdrachtprompt om de opstartbestanden in de opstartpartitie van het EFI-systeem te herstellen. Typ elke opdracht afzonderlijk en druk op Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Als u BCDBoot uitvoert, wordt 'Opstartbestanden gemaakt' geretourneerd. Nadat dit bericht is weergegeven, start u het apparaat opnieuw op naar Windows.

4. Als stap 3 het apparaat niet kan herstellen, installeert u Windows opnieuw.

   1. Start het apparaat vanaf bestaande herstelmedia.

   2. Ga verder met het installeren van Windows met behulp van het herstelmedium.

   3. Aanmelden bij Windows.

   4. Start Windows opnieuw op om te controleren of het apparaat weer wordt opgestart naar Windows.

5. Schakel Beveiligd opstarten opnieuw in en start het apparaat opnieuw op.
   
   Voer het UEFI-menu van het apparaat in, navigeer naar de instellingen voor beveiligd opstarten en schakel dit in. Raadpleeg de documentatie van de fabrikant van uw apparaat voor meer informatie over dit proces. Meer informatie vindt u in de sectie Beveiligd opstarten opnieuw inschakelen.

Naslagwerken

• Richtlijnen voor het onderzoeken van aanvallen met CVE-2022-21894: De BlackLotus-campagne

• Beveiligd opstarten

• Beveiligd opstarten inschakelen op ingeschreven Windows-apparaten

• Zie KB5016061: Adressering van kwetsbare en ingetrokken opstartmanagers voor gebeurtenissen die worden gegenereerd bij het toepassen van DBX-updates.