KB5025885: Como gerir as revogações do Gestor de Arranque do Windows para alterações de Arranque Seguro associadas ao CVE-2023-24932

Neste artigo

• Resumo

  • Tomar Medidas

  • Âmbito do Impacto

  • Compreender os riscos

  • Problemas Conhecidos

• Diretrizes para esta versão

• Diretrizes de implementação de mitigação

• Suporte de dados de arranque

• Atualizar o suporte de dados de instalação do Windows

• Temporização das atualizações

• Erros do Registo de eventos do Windows relacionados com o CVE-2023-24932

• Perguntas Mais Frequentes (FAQ)

• Resolver problemas de arranque

• Procedimento de recuperação

• Referências

• Registo de alterações

Resumo

Este artigo descreve a proteção contra a funcionalidade de segurança de Arranque Seguro divulgada publicamente que utiliza o bootkit UEFI BlackLotus controlado pelo CVE-2023-24932, como ativar as mitigações e orientações sobre suportes de dados de arranque. Um bootkit é um programa malicioso concebido para ser carregado o mais cedo possível numa sequência de arranque de dispositivos para controlar o início do sistema operativo.

O Arranque Seguro é recomendado pela Microsoft para tornar um caminho seguro e fidedigno da Interface de Firmware Extensível Unificada (UEFI) através da sequência de Arranque Fidedigno do kernel do Windows. O Arranque Seguro ajuda a impedir o bootkit de software maligno na sequência de arranque. Desativar o Arranque Seguro coloca um dispositivo em risco de ser infetado por software maligno bootkit. Corrigir o desvio de Arranque Seguro descrito em CVE-2023-24932 requer a revogação dos gestores de arranque. Isto pode causar problemas em algumas configurações de arranque do dispositivo.

As mitigações contra a desativação do Arranque Seguro detalhadas no CVE-2023-24932 estão incluídas nas atualizações de segurança do Windows que foram lançadas a 9 de julho de 2024 ou depois. No entanto, estas mitigações não estão ativadas por predefinição. Com estas atualizações, recomendamos que comece a avaliar estas alterações no seu ambiente. A agenda completa é descrita na secção Temporização das atualizações .

Antes de ativar estas mitigações, deve rever exaustivamente os detalhes neste artigo e determinar se tem de ativar as mitigações ou aguardar uma atualização futura da Microsoft. Se optar por ativar as mitigações, tem de verificar se os seus dispositivos estão atualizados e prontos e compreender os riscos descritos neste artigo. 

Diretrizes para esta versão

Para esta versão, siga estes dois passos.

Passo 1: Instalar a atualização

de segurança do Windows Instale a atualização de segurança mensal do Windows lançada a 9 de julho de 2024 em dispositivos Windows suportados. Estas atualizações incluem mitigações para CVE-2023-24932, mas não estão ativadas por predefinição. Todos os dispositivos Windows devem concluir este passo, quer planeie ou não implementar as mitigações.

Passo 2: Avaliar as alterações

Recomendamos que faça o seguinte:

• Compreenda as duas primeiras mitigações que permitem atualizar a BD de Arranque Seguro e atualizar o gestor de arranque.

• Reveja a agenda atualizada.

• Comece a testar as duas primeiras mitigações em dispositivos representativos do seu ambiente.

• Comece a planear a implementação.

Passo 3: Impor as alterações

Recomendamos que compreenda os riscos destacados na secção Compreender os Riscos.

• Compreenda o impacto na recuperação e noutros suportes de dados de arranque.

• Comece a testar a terceira mitigação que desconfie do certificado de assinatura utilizado para todos os gestores de arranque anteriores do Windows.

Diretrizes de implementação de mitigação

Antes de seguir estes passos para aplicar as mitigações, instale a atualização de manutenção mensal do Windows disponibilizada em ou depois de 9 de julho de 2024 em dispositivos Windows suportados. Esta atualização inclui mitigações para CVE-2023-24932, mas não estão ativadas por predefinição. Todos os dispositivos Windows devem concluir este passo, independentemente do seu plano para ativar as mitigações.

Para implementar a atualização e aplicar as revogações, siga estes passos:

1. Instale as definições de certificado atualizadas para a BD.

   Este passo adicionará o certificado "WINDOWS UEFI CA 2023" à UEFI "Secure Boot Signature Database" (DB). Ao adicionar este certificado à BD, o firmware do dispositivo irá confiar nas aplicações de arranque assinadas por este certificado.

   1. Abra uma linha de comandos de Administrador e defina a chave de registo para efetuar a atualização para a BD ao introduzir o seguinte comando:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      IMPORTANTE Certifique-se de que reinicia o dispositivo duas vezes para concluir a instalação da atualização antes de prosseguir para os Passos 2 e 3.

   2. Execute o seguinte comando do PowerShell como Administrador e verifique se a BD foi atualizada com êxito. Este comando deve devolver Verdadeiro.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Atualize o Gestor de Arranque no seu dispositivo.

   Este passo irá instalar uma aplicação de gestor de arranque no seu dispositivo que está assinada com o certificado "MICROSOFT UEFI CA 2023".

   1. Abra uma linha de comandos do Administrador e defina a chave de registo para instalar o gestor de arranque assinado ""WINDOWS UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Reinicie o dispositivo duas vezes.

   3. Como Administrador, monte a partição EFI para prepará-la para inspeção:

      mountvol s: /s

   4. Confirme que o ficheiro "s:\efi\microsoft\boot\bootmgfw.efi" está assinado pelo certificado "WINDOWS UEFI CA 2023". Para tal, siga estes passos:

      1. Clique em Iniciar, escreva linha de comandos na caixa Procurar e, em seguida, clique em Linha de Comandos.

      2. Na janela Linha de Comandos , escreva o seguinte comando e, em seguida, prima Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. No Gestor de Ficheiros, clique com o botão direito do rato no ficheiro C:\bootmgfw_2023.efi, clique em Propriedades e, em seguida, selecione o separador Assinaturas Digitais .

      4. Na lista Assinatura, confirme que a cadeia de certificados inclui a AC 2023 do UEFI do Windows. A cadeia de certificados deve corresponder à seguinte captura de ecrã:
         
         

3. Ative a revogação.

   A Lista Proibida do UEFI (DBX) é utilizada para bloquear o carregamento de módulos UEFI não fidedignos. Neste passo, atualizar o DBX irá adicionar o certificado "Windows Production CA 2011" ao DBX. Isto fará com que todos os gestores de arranque assinados por este certificado deixem de ser considerados fidedignos.

   AVISO: antes de aplicar a terceira mitigação, crie uma pen de recuperação que possa ser utilizada para iniciar o sistema. Para obter informações sobre como fazê-lo, consulte a secção Atualizar suportes de dados de instalação do Windows.

   Se o seu sistema entrar num estado não inicializável, siga os passos na secção Procedimento de recuperação para repor o dispositivo para um estado de pré-revogação.

   1. Adicione o certificado "Windows Production PCA 2011" à Lista Proibida do UEFI de Arranque Seguro (DBX). Para tal, abra as janelas da Linha de Comandos como Administrador, escreva o seguinte comando e, em seguida, prima Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Reinicie o dispositivo duas vezes e confirme que foi totalmente reiniciado.

   3. Verifique se a lista de instalação e revogação foi aplicada com êxito ao procurar o evento 1037 no registo de eventos.
      
      Para obter informações sobre o Evento 1037, veja KB5016061: Secure Boot DB and DBX variable update events (Evento 1037: Eventos de atualização de variáveis DBX e DBX de Arranque Seguro). Em alternativa, execute o seguinte comando do PowerShell como Administrador e certifique-se de que devolve Verdadeiro:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) -match "Microsoft Windows Production PCA 2011" 

4. Aplique a atualização SVN ao firmware.
   
   O Gestor de Arranque implementado no Passo 2 tem uma nova funcionalidade de revogação automática incorporada. Quando o Gestor de Arranque começa a ser executado, efetua uma verificação automática ao comparar o Número de Versão Segura (SVN) armazenado no firmware, com a SVN incorporada no Gestor de Arranque. Se a SVN do Gestor de Arranque for inferior à SVN armazenada no firmware, o Gestor de Arranque recusar-se-á a executar. Esta funcionalidade impede que um atacante reverta o Gestor de Arranque para uma versão mais antiga e não atualizada.
   
   Em atualizações futuras, quando um problema de segurança significativo for corrigido no Gestor de Arranque, o número SVN será incrementado tanto no Gestor de Arranque como na atualização do firmware. Ambas as atualizações serão lançadas na mesma atualização cumulativa para garantir que os dispositivos corrigidos estão protegidos. Sempre que a SVN for atualizada, qualquer suporte de dados de arranque terá de ser atualizado.
   
   A partir das atualizações de 9 de julho de 2024, a SVN está a ser incrementada no Gestor de Arranque e a atualização para o firmware. A atualização de firmware é opcional e pode ser aplicada ao seguir estes passos:

   1. Abra uma linha de comandos de Administrador e execute o seguinte comando para instalar o gestor de arranque assinado "UEFI CA 2023 do Windows":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. Reinicie o dispositivo duas vezes.

Suporte de dados de arranque

Será importante atualizar o suporte de dados de arranque assim que a Fase de Implementação começar no seu ambiente.

A documentação de orientação para atualizar suportes de dados de arranque está disponível com atualizações futuras para este artigo. Consulte a secção seguinte para criar uma pen USB para recuperar um dispositivo.

Atualizar o suporte de dados de instalação do Windows

Pode utilizar a aplicação Criar Unidade de Recuperação ao seguir estes passos. Este suporte de dados pode ser utilizado para reinstalar um dispositivo caso exista um problema importante, como uma falha de hardware, poderá utilizar a unidade de recuperação para reinstalar o Windows.

1. Aceda a um dispositivo onde foram aplicadas as atualizações de 9 de julho de 2024 e o primeiro passo de mitigação (atualização da BD de Arranque Seguro).

2. No menu Iniciar , procure o painel de controlo "Criar uma Unidade de Recuperação" e siga as instruções para criar uma unidade de recuperação.

3. Com a pen criada recentemente (por exemplo, como a unidade "D:"), execute os seguintes comandos como administrador. Escreva cada um dos seguintes comandos e, em seguida, prima Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Se gerir suportes de dados instaláveis no seu ambiente através da documentação de orientação Atualizar o suporte de dados de instalação do Windows com a Atualização Dinâmica , siga estes passos. Estes passos adicionais irão criar uma pen de arranque que utiliza ficheiros de arranque assinados pelo certificado de assinatura "WINDOWS UEFI CA 2023".

1. Aceda a um dispositivo onde foram aplicadas as atualizações de 9 de julho de 2024 e o primeiro passo de mitigação (atualização da BD de Arranque Seguro).

2. Siga os passos na ligação abaixo para criar suportes de dados com as atualizações de 9 de julho de 2024. Atualizar o suporte de dados de instalação do Windows com a Atualização Dinâmica

3. Coloque o conteúdo do suporte de dados numa pen USB e monte a pen USB como uma letra de unidade. Por exemplo, monte a pen como "D:".

4. Execute os seguintes comandos a partir de uma janela de comando como administrador. Escreva cada um dos seguintes comandos e, em seguida, prima Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Se um dispositivo tiver as definições de Arranque Seguro repostas para as predefinições depois de aplicar as mitigações, o dispositivo não arrancará. Para resolver este problema, é incluída uma aplicação de reparação com as atualizações de 9 de julho de 2024 que podem ser utilizadas para reaplicar o certificado "WINDOWS UEFI CA 2023" à BD (mitigação n.º 1).

1. Aceda a um dispositivo onde foram aplicadas as atualizações de 9 de julho de 2024.

2. Numa janela de comandos, copie a aplicação de recuperação para a pen com os seguintes comandos (partindo do princípio de que a pen é a unidade "D:"). Escreva cada comando separadamente e, em seguida, prima Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. No dispositivo que tem as definições de Arranque Seguro repostas para as predefinições, insira a pen, reinicie o dispositivo e arranque a partir da pen.

Temporização das atualizações

As atualizações são lançadas da seguinte forma:

• Implementação Inicial Esta fase começou com as atualizações lançadas a 9 de maio de 2023 e forneceu mitigações básicas com passos manuais para ativar essas mitigações.

• Segunda Implementação Esta fase começou com as atualizações lançadas a 11 de julho de 2023, que adicionaram passos simplificados para ativar as mitigações para o problema.

• Fase de Avaliação Esta fase começará a 9 de abril de 2024 e adicionará mitigações adicionais do gestor de arranque.

• Fase de Implementação É nesta altura que iremos incentivar todos os clientes a começarem a implementar as mitigações e a atualizar os suportes de dados.

• Fase de Imposição A Fase de Imposição que tornará as mitigações permanentes. A data para esta fase será anunciada posteriormente.

Nota A agenda de lançamento pode ser revista conforme necessário.

Erros do Registo de eventos do Windows relacionados com o CVE-2023-24932

As entradas do registo de Eventos do Windows relacionadas com a atualização da BD e do DBX são descritas em detalhe no KB5016061: Eventos de atualização da variável DBX e da BD de Arranque Seguro.

Os eventos de "êxito" relacionados com a aplicação das mitigações estão listados na tabela seguinte.

Perguntas Mais Frequentes (FAQ)

Resolver problemas de arranque

Depois de as três mitigações terem sido aplicadas, o firmware do dispositivo não arrancará com um gestor de arranque assinado pelo Windows Production PCA 2011. As falhas de arranque comunicadas pelo firmware são específicas do dispositivo. Veja a secção Procedimento de recuperação .

Procedimento de recuperação

Se algo correr mal ao aplicar as mitigações e não conseguir iniciar o dispositivo ou se precisar de iniciar a partir de suportes de dados externos (como uma pen usb ou um arranque PXE), experimente as seguintes sugestões:

1. Desative o Arranque Seguro.
   
   Este procedimento difere entre fabricantes e modelos de dispositivos. Introduza o menu UEFI BIOS dos seus dispositivos, navegue para as definições de Arranque Seguro e desative-o. Consulte a documentação do fabricante do dispositivo para obter informações específicas sobre este processo. Pode encontrar mais detalhes em Desativar o Arranque Seguro.

2. Repor as chaves de Arranque Seguro para as predefinições de fábrica.

   Se o dispositivo suportar a reposição das chaves de arranque segura para as predefinições de fábrica, execute esta ação agora.

   NOTA Alguns fabricantes de dispositivos têm uma opção "Limpar" e uma opção "Repor" para variáveis de Arranque Seguro. Nesse caso, deve ser utilizada a opção "Repor". O objetivo é voltar a colocar as variáveis de Arranque Seguro nos valores predefinidos dos fabricantes.

   O dispositivo deve ser iniciado agora, mas tenha em atenção que está vulnerável a software maligno do kit de arranque. Certifique-se de que conclui o Passo 5 deste processo de recuperação para reativar o Arranque Seguro.

3. Tente iniciar o Windows a partir do disco do sistema.

   1. Inicie sessão no Windows.

   2. Execute os seguintes comandos a partir de uma linha de comandos do Administrador para restaurar os ficheiros de arranque na partição de arranque do sistema EFI. Escreva cada comando separadamente e, em seguida, prima Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. A execução do BCDBoot devolve "Ficheiros de arranque criados com êxito". Depois de esta mensagem ser apresentada, reinicie o dispositivo novamente para o Windows.

4. Se o Passo 3 não recuperar o dispositivo com êxito, reinstale o Windows.

   1. Inicie o dispositivo a partir do suporte de dados de recuperação existente.

   2. Continue a instalar o Windows com o suporte de dados de recuperação.

   3. Inicie sessão no Windows.

   4. Reinicie o Windows para verificar se o dispositivo recomeça para o Windows.

5. Reativar o Arranque Seguro e reiniciar o dispositivo.
   
   Introduza o menu UEFI do dispositivo, navegue para as definições de Arranque Seguro e ative-o. Consulte a documentação do fabricante do dispositivo para obter informações específicas sobre este processo. Pode encontrar mais informações na secção "Reativar Arranque Seguro".

Referências

• Documentação de orientação para investigar ataques com CVE-2022-21894: A campanha BlackLotus

• Arranque Seguro

• Ativar o Arranque Seguro em dispositivos Windows inscritos

• Para eventos gerados ao aplicar atualizações DBX, veja KB5016061: Abordar Gestores de Arranque vulneráveis e revogados.