KB5025885: Як керувати відкликаннями Диспетчера завантаження Windows для безпечного завантаження змін, пов'язаних із CVE-2023-24932

У цій статті

• Зведення

  • Вжити заходів

  • Область впливу

  • Розуміння ризиків

  • Відомі проблеми

• Рекомендації з цього випуску

• Рекомендації з розгортання засобу послаблення ризиків

• Завантажувальний носій

• Оновлення носія для інсталяції Windows

• Хронометраж оновлень

• Помилки журналу подій Windows, пов'язані з CVE-2023-24932

• Запитання й відповіді (запитання й відповіді)

• Виправлення неполадок із завантаженням

• Процедура відновлення

• Посилання

• Журнал змін

Зведення

У цій статті описано захист від загальнодоступного обходу функції безпеки безпечного завантаження, який використовує bootkit BlackLotus UEFI, відстежений CVE-2023-24932, як увімкнути засоби захисту та вказівки щодо завантажувальних носіїв. Bootkit – це зловмисна програма, яка запускається якомога раніше в послідовності завантаження пристроїв для керування запуском операційної системи.

Корпорація Майкрософт рекомендує безпечне завантаження, щоб зробити безпечний і надійний шлях з інтерфейсу уніфікованого розширюваного мікропрограми (UEFI) через послідовність надійного завантаження ядра Windows. Безпечне завантаження допомагає запобігти запуску зловмисних програм у послідовності завантаження. Вимкнення безпечного завантаження ставить пристрій під загрозу зараження зловмисною програмою bootkit. Для виправлення обходу безпечного завантаження, описаного в CVE-2023-24932, потрібно відкликати диспетчери завантаження. Це може спричинити проблеми з деякими конфігураціями завантаження пристрою.

Засоби захисту від обходу безпечного завантаження, описані в CVE-2023-24932 , входять до оновлень системи безпеки Windows, випущених 9 липня 2024 р. або пізніше. Однак ці засоби послаблення ризиків не ввімкнуто за промовчанням. З цими оновленнями радимо почати оцінювати ці зміни у своєму середовищі. Повний розклад описано в розділі Хронометраж оновлень .

Перш ніж активувати ці засоби захисту, слід ретельно ознайомитися з відомостями в цій статті та визначити, чи потрібно активувати засоби послаблення ризиків або зачекати на майбутнє оновлення від корпорації Майкрософт. Якщо ви вирішите ввімкнути послаблення ризиків, переконайтеся, що пристрої оновлено та готові, а також зрозуміти ризики, описані в цій статті. 

Рекомендації з цього випуску

Для цього випуску виконайте ці два кроки.

Крок 1. Інсталяція оновлення

системи безпеки Windows Інсталюйте щомісячне оновлення системи безпеки Windows, випущене 9 липня 2024 р. або пізніше, на підтримувані пристрої Windows. Ці оновлення містять послаблення ризиків для CVE-2023-24932, але не ввімкнуто за замовчуванням. Усі пристрої Windows мають виконати цей крок незалежно від того, чи плануєте ви розгорнути засоби послаблення ризиків.

Крок 2. Обчислення змін

Рекомендуємо виконати такі дії:

• Ознайомтеся з першими двома ризиками, які дають змогу оновити базу даних безпечного завантаження та оновити диспетчер завантаження.

• Перегляньте оновлений розклад.

• Розпочніть перевірку перших двох заходів захисту від репрезентативних пристроїв із середовища.

• Почніть планування розгортання.

Крок 3. Застосування змін

Рекомендуємо вам зрозуміти ризики, наведені в розділі Розуміння ризиків.

• Зрозумійте вплив на відновлення та інші завантажувальні носії.

• Почніть перевірку третього зниження ризику, яке ненадійне сертифікатом підпису, який використовувався для всіх попередніх диспетчерів завантаження Windows.

Рекомендації з розгортання засобу послаблення ризиків

Перш ніж виконати ці кроки для застосування заходів зниження ризику, інсталюйте щомісячне оновлення обслуговування Windows, випущене 9 липня 2024 р. або пізніше, на підтримувані пристрої Windows. Це оновлення містить послаблення ризиків для CVE-2023-24932, але вони не ввімкнуто за замовчуванням. Усі пристрої Windows мають виконати цей крок незалежно від вашого плану, щоб увімкнути засоби послаблення ризиків.

Щоб розгорнути оновлення та застосувати відкликання, виконайте такі дії:

1. Інсталюйте оновлені визначення сертифікатів до бази даних.

   Цей крок додасть сертифікат "Windows UEFI CA 2023" до бази даних UEFI "Захищений завантажувальний підпис бази даних" (DB). Додавши цей сертифікат до бази даних, мікропрограма пристрою довірятиме програмам завантаження, підписаним цим сертифікатом.

   1. Відкрийте командний рядок адміністратора та встановіть ключ реєстру для виконання оновлення до бази даних, ввівши таку команду:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      ВАЖЛИВИЙ Обов'язково перезавантажте пристрій два рази, щоб завершити інсталяцію оновлення, перш ніж перейти до кроків 2 та 3.

   2. Виконайте наведену нижче команду PowerShell як адміністратор і переконайтеся, що базу даних успішно оновлено. Ця команда має повернути значення True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Оновіть диспетчер завантаження на своєму пристрої.

   Цей крок інсталює на пристрій програму диспетчера завантаження, підписану сертифікатом "Windows UEFI CA 2023".

   1. Відкрийте командний рядок адміністратора та встановіть ключ реєстру для інсталяції диспетчера завантаження "'Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Перезавантажте пристрій два рази.

   3. Як адміністратор, змонтуйте розділ EFI, щоб підготувати його до перевірки:

      mountvol s: /s

   4. Переконайтеся, що файл "s:\efi\microsoft\boot\bootmgfw.efi" підписано сертифікатом "Windows UEFI CA 2023". Для цього виконайте такі дії:

      1. Натисніть кнопку Пуск, введіть командний рядок у полі Пошук і натисніть кнопку Командний рядок.

      2. У вікні Командний рядок введіть таку команду та натисніть клавішу Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. У Диспетчері файлів клацніть правою кнопкою миші файл C:\bootmgfw_2023.efi, виберіть пункт Властивості, а потім перейдіть на вкладку Цифрові підписи .

      4. У списку Підпис переконайтеся, що ланцюжок сертифікатів включає Windows UEFI CA 2023. Ланцюжок сертифікатів має відповідати такому знімку екрана:
         
         

3. Увімкнути відкликання.

   Заборонений список UEFI (DBX) використовується для блокування завантаження ненадійних модулів UEFI. На цьому кроці оновлення DBX додасть сертифікат "Windows Production CA 2011" до DBX. Це призведе до того, що всі диспетчери завантаження, підписані цим сертифікатом, більше не вважатимуться надійними.

   УВАГА! Перш ніж застосовувати третє зниження ризику, створіть флеш-пам'ять для відновлення, яку можна використовувати для завантаження системи. Відомості про те, як це зробити, див. в розділі Оновлення носія для інсталяції Windows.

   Якщо система переходить у незавантажуваний стан, виконайте кроки, описані в розділі Процедура відновлення, щоб скинути пристрій до стану попереднього виклику.

   1. Додайте сертифікат "Windows Production PCA 2011" до списку заборонених UEFI безпечного завантаження (DBX). Для цього відкрийте вікно командного рядка з правами адміністратора, введіть таку команду, а потім натисніть клавішу Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Перезавантажте пристрій два рази та переконайтеся, що його повністю перезавантажено.

   3. Переконайтеся, що список інсталяції та відкликання успішно застосовано, шукаючи подію 1037 у журналі подій.
      
      Відомості про подію 1037 див. в статті KB5016061: події оновлення змінних DB для безпечного завантаження та змінних DBX. Або виконайте таку команду PowerShell як адміністратор і переконайтеся, що вона повертає значення True:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) - match "Microsoft Windows Production PCA 2011" 

4. Застосуйте оновлення SVN до мікропрограми.
   
   Диспетчер завантаження, розгорнутий на кроці 2, має нову вбудовану функцію самостійного відкликання. Коли диспетчер завантаження запускається, він виконує самостійну перевірку, порівнюючи безпечний номер версії (SVN), який зберігається в мікропрограмі, з вбудованим SVN в диспетчер завантаження. Якщо SVN диспетчера завантаження нижчий за SVN, що зберігається в мікропрограмі, диспетчер завантаження відмовиться від запуску. Ця функція запобігає відкочування диспетчера завантаження до старішої неоновлювалося версії.
   
   У майбутніх оновленнях, коли у диспетчері завантаження виправлено значну проблему безпеки, число SVN збільшується як у диспетчері завантаження, так і в оновленні мікропрограми. Обидва оновлення буде випущено в одному сукупному оновленні, щоб переконатися, що виправлені пристрої захищені. Щоразу, коли оновлюється SVN, потрібно оновлювати будь-який завантажувальний носій.
   
   Починаючи з 9 липня 2024 року, оновлення, SVN збільшується в диспетчері завантаження та оновлення мікропрограми. Оновлення мікропрограми необов'язкове, і його можна застосувати, виконавши такі дії:

   1. Відкрийте командний рядок адміністратора та виконайте таку команду, щоб інсталювати диспетчер завантаження "'Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. Перезавантажте пристрій два рази.

Завантажувальний носій

Після початку етапу розгортання в середовищі важливо оновити завантажувальний носій.

У майбутніх оновленнях цієї статті наведено інструкції з оновлення завантажувального носія. Див. наступний розділ, щоб створити флеш-пам'ятку USB для відновлення пристрою.

Оновлення носія для інсталяції Windows

Щоб скористатися програмою Create Recovery Drive , виконайте наведені нижче дії. Цей носій можна використовувати для повторної інсталяції пристрою на випадок, якщо виникла серйозна проблема, наприклад неполадка обладнання, ви зможете повторно інсталювати Windows за допомогою диска відновлення.

1. Перейдіть на пристрій, де було застосовано оновлення від 9 липня 2024 року та перший крок зниження ризику (оновлення бази даних безпечного завантаження).

2. У меню "Пуск " знайдіть аплет панелі керування "Create a Recovery Drive" і дотримуйтеся вказівок, щоб створити диск відновлення.

3. Щойно створений флеш-пам'ять установлено (наприклад, як диск "D:"), виконайте наведені нижче команди з правами адміністратора. Введіть кожну з наведених нижче команд і натисніть клавішу Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Якщо ви керуєте інсталяційним медіавмістом у своєму середовищі за допомогою інсталяційного носія Оновлення Windows із рекомендаціями з динамічного оновлення , виконайте наведені нижче дії. Ці додаткові кроки допоможуть створити завантажувальний флеш-диск, який використовує файли завантаження, підписані сертифікатом підпису "Windows UEFI CA 2023".

1. Перейдіть на пристрій, на якому було застосовано оновлення від 9 липня 2024 року та перший крок послаблення ризиків (оновлення бази даних безпечного завантаження).

2. Виконайте кроки, наведені в посиланні нижче, щоб створити медіавміст з оновленнями від 9 липня 2024 року. Оновлення інсталяційного носія Windows за допомогою динамічного оновлення

3. Розмістіть вміст носія на флеш-накопичувачі USB і змонтуйте флеш-пам'ятку як букву диска. Наприклад, змонтуйте флеш-диск як "D:".

4. Виконайте наведені нижче команди з командного вікна з правами адміністратора. Введіть кожну з наведених нижче команд і натисніть клавішу Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Якщо після застосування заходів захисту пристрій скинув настройки безпечного завантаження до значень за замовчуванням, пристрій не завантажиться. Щоб вирішити цю проблему, програма відновлення входить до складу оновлення від 9 липня 2024 р., які можна використовувати для повторного застосування сертифіката "Windows UEFI CA 2023" до бази даних (послаблення ризиків #1).

1. Перейдіть на пристрій, на якому застосовано оновлення від 9 липня 2024 року.

2. У командному вікні скопіюйте програму відновлення на флеш-пам'ять за допомогою наведених нижче команд (якщо флеш-пам'ять – це диск "D:"). Введіть кожну команду окремо, а потім натисніть клавішу Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. На пристрої з настройками безпечного завантаження відновіть початковий стан за замовчуванням, вставте флеш-пам'ять, перезавантажте пристрій і завантажте його зі флеш-пам'яті.

Хронометраж оновлень

Оновлення випускаються в такий спосіб:

• Початкове розгортання Цей етап почався з оновлень, випущених 9 травня 2023 року, і забезпечив основні заходи з усунення ризиків вручну, щоб увімкнути ці заходи.

• Друге розгортання Цей етап почався з оновлень, випущених 11 липня 2023 року, які додали спрощені кроки, щоб увімкнути послаблення ризиків для цієї проблеми.

• Етап оцінювання Цей етап розпочнеться 9 квітня 2024 року та додасть додаткові засоби послаблення ризиків диспетчера завантаження.

• Етап розгортання Це коли ми заохочуватимемо всіх клієнтів почати розгортання заходів послаблення ризиків і оновлення медіавмісту.

• Етап примусового застосування Етап примусового застосування, який зробить пом'якшення постійними. Дата цього етапу буде оголошена пізніше.

Нотатка Розклад випуску може бути змінений за потреби.

Помилки журналу подій Windows, пов'язані з CVE-2023-24932

Записи журналу подій Windows, пов'язані з оновленням DB і DBX, докладно описано в KB5016061: події оновлення змінних DB для безпечного завантаження та DBX.

Події успіху, пов'язані із застосуванням заходів зниження ризику, перелічено в таблиці нижче.

Запитання й відповіді (запитання й відповіді)

Виправлення неполадок із завантаженням

Після застосування всіх трьох заходів зниження ризику мікропрограма пристрою не завантажиться за допомогою диспетчера завантаження, підписаного PCA Windows Production 2011. Помилки завантаження, про які повідомляє мікропрограма, стосуються конкретних пристроїв. Див. розділ Процедура відновлення .

Процедура відновлення

Якщо під час застосування заходів зниження ризику сталася помилка, але не вдалося запустити пристрій або потрібно почати роботу із зовнішнього носія (наприклад, флеш-накопичувача або завантаження PXE), спробуйте виконати наведені нижче дії.

1. Вимкніть безпечне завантаження.
   
   Ця процедура відрізняється між виробниками пристроїв і моделями. Введіть у меню UEFI BIOS свої пристрої та перейдіть до настройок безпечного завантаження та вимкніть його. Перегляньте документацію від виробника пристрою, щоб дізнатися про особливості цього процесу. Докладні відомості див. в статті Вимкнення безпечного завантаження.

2. Скидання ключів безпечного завантаження до заводських значень за замовчуванням.

   Якщо пристрій підтримує скидання ключів безпечного завантаження до заводських настройок, виконайте цю дію зараз.

   ПРИМІТКА Деякі виробники пристроїв мають параметр "Очистити" та "Скинути" для змінних безпечного завантаження, у цьому випадку слід використовувати "Скинути". Мета полягає в тому, щоб повернути змінні безпечного завантаження до стандартних значень виробників.

   Пристрій має запуститися зараз, але зверніть увагу, що він вразливий до шкідливого програмного забезпечення для завантаження. Обов'язково виконайте крок 5 цього процесу відновлення, щоб повторно ввімкнути безпечне завантаження.

3. Спробуйте запустити Windows із системного диска.

   1. Увійдіть у Windows.

   2. Виконайте наведені нижче команди з командного рядка адміністратора, щоб відновити завантажувальні файли в розділі завантаження системи EFI. Введіть кожну команду окремо, а потім натисніть клавішу Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Виконання BCDBoot повертає фразу "Boot files successfully created" (Успішно створено файли завантаження). Коли це повідомлення з'явиться, перезавантажте пристрій знову у Windows.

4. Якщо крок 3 не відновлює пристрій, повторно інсталюйте Windows.

   1. Запустіть пристрій із наявного носія для відновлення.

   2. Приступайте до інсталяції Windows за допомогою носія для відновлення.

   3. Увійдіть у Windows.

   4. Перезавантажте Windows, щоб переконатися, що пристрій знову запускається у Windows.

5. Знову ввімкніть безпечне завантаження та перезавантажте пристрій.
   
   Введіть меню UEFI пристрою, перейдіть до настройок безпечного завантаження та ввімкніть його. Перегляньте документацію від виробника пристрою, щоб дізнатися про особливості цього процесу. Докладні відомості див. в розділі "Повторне ввімкнення безпечного завантаження".

Посилання

• Рекомендації з розслідування атак за допомогою CVE-2022-21894: кампанія BlackLotus

• Безпечне завантаження

• Увімкнути безпечне завантаження на зареєстрованих пристроях Windows

• Відомості про події, які створюються під час застосування оновлень DBX, див. в статті KB5016061: Вирішення вразливих і відкликаних диспетчерів завантаження.