KB5025885: A CVE-2023-24932-höz társított biztonságos rendszerindítási módosítások Windows Boot Manager-visszavonásainak kezelése

Ebben a cikkben

• Összefoglalás

  • Művelet végrehajtása

  • Hatás hatóköre

  • A kockázatok ismertetése

  • Ismert problémák

• Útmutató ehhez a kiadáshoz

• Hibaelhárítási üzembehelyezési irányelvek

• Rendszerindító adathordozó

• Windows telepítési adathordozó frissítése

• Frissítések időzítése

• A CVE-2023-24932-höz kapcsolódó Windows-eseménynapló-hibák

• Gyakori kérdések (GYIK)

• Rendszerindítási problémák elhárítása

• Helyreállítási eljárás

• Referenciák

• Napló módosítása

Összefoglalás

Ez a cikk a CVE-2023-24932 által nyomon követett BlackLotus UEFI-rendszerindítót használó, nyilvánosan közzétett Biztonságos rendszerindítási biztonsági funkció megkerülésével szembeni védelmet, a kockázatcsökkentések engedélyezését és a rendszerindító adathordozóra vonatkozó útmutatást ismerteti. A bootkit egy rosszindulatú program, amely úgy van kialakítva, hogy a lehető leghamarabb betöltse az eszközök rendszerindítási sorozatát az operációs rendszer indításának vezérléséhez.

A Biztonságos rendszerindítást a Microsoft javasolja, hogy biztonságos és megbízható útvonalat hozzon létre az egyesített bővíthető belső vezérlőprogram felületéről (UEFI) a Windows kernel megbízható rendszerindítási sorozatán keresztül. A Biztonságos rendszerindítás segít megelőzni a rendszerindítási kártevőt a rendszerindítási folyamatban. A Biztonságos rendszerindítás letiltása kockázatnak teszi ki az eszközt a bootkit kártevő által történő fertőzöttség szempontjából. A CVE-2023-24932-ben leírt biztonságos rendszerindítási megkerülés kijavításához vissza kell indítani a rendszerindítás-kezelőket. Ez problémákat okozhat egyes eszközindítási konfigurációk esetében.

A 2024. július 9-én vagy azt követően kiadott Windows biztonsági frissítések tartalmazzák a CVE-2023-24932-ben részletezett biztonságos rendszerindítási megkerülés elleni kockázatcsökkentéseket. Ezek a kockázatcsökkentések azonban alapértelmezés szerint nincsenek engedélyezve. Ezekkel a frissítésekkel azt javasoljuk, hogy kezdje el kiértékelni ezeket a változásokat a környezetében. A teljes ütemezést a Frissítések időzítése szakaszban ismertetjük.

A kockázatcsökkentések engedélyezése előtt alaposan tekintse át a cikkben található részleteket, és állapítsa meg, hogy engedélyeznie kell-e a kockázatcsökkentéseket, vagy várnia kell a Microsoft jövőbeli frissítésére. Ha úgy dönt, hogy engedélyezi a kockázatcsökkentéseket, ellenőriznie kell az eszközök frissítését és készenlétét, valamint ismernie kell az ebben a cikkben ismertetett kockázatokat. 

Útmutató ehhez a kiadáshoz

Ebben a kiadásban kövesse ezt a két lépést.

1. lépés: A Windows biztonsági frissítés

telepítése Telepítse a 2024. július 9-én vagy azt követően kiadott Windows havi biztonsági frissítést a támogatott Windows-eszközökön. Ezek a frissítések tartalmazzák a CVE-2023-24932 megoldásait, de alapértelmezés szerint nincsenek engedélyezve. Minden Windows-eszköznek el kell végeznie ezt a lépést, függetlenül attól, hogy tervezi-e a kockázatcsökkentések üzembe helyezését.

2. lépés: A módosítások

kiértékelése Javasoljuk, hogy tegye a következőket:

• Ismerje meg az első két kockázatcsökkentést, amelyek lehetővé teszik a biztonságos rendszerindítási adatbázis frissítését és a rendszerindítás-kezelő frissítését.

• Tekintse át a frissített ütemezést.

• Kezdje el tesztelni az első két kockázatcsökkentést a környezet reprezentatív eszközein.

• Kezdje el az üzembe helyezés megtervezését.

3. lépés: A módosítások kényszerítése

Javasoljuk, hogy ismerje meg a Kockázatok ismertetése szakaszban szereplő kockázatokat.

• Ismerje meg a helyreállításra és más rendszerindító adathordozókra gyakorolt hatást.

• Kezdje el tesztelni a harmadik kockázatcsökkentést, amely nem megbízható az összes korábbi Windows rendszerindítás-kezelőhöz használt aláíró tanúsítványban.

Hibaelhárítási üzembehelyezési irányelvek

Mielőtt követené a kockázatcsökkentések alkalmazásának lépéseit, telepítse a Windows 2024. július 9-én vagy azt követően kiadott havi karbantartási frissítését a támogatott Windows-eszközökön. Ez a frissítés tartalmazza a CVE-2023-24932 megoldásait, de alapértelmezés szerint nincsenek engedélyezve. A megoldás engedélyezésének tervétől függetlenül minden Windows-eszköznek végre kell hajtania ezt a lépést.

A frissítés üzembe helyezéséhez és a visszavonások alkalmazásához kövesse az alábbi lépéseket:

1. Telepítse a frissített tanúsítványdefiníciókat az adatbázisba.

   Ez a lépés hozzáadja a "Windows UEFI CA 2023" tanúsítványt az UEFI "Secure Boot Signature Database" (DB) adatbázishoz. Ha hozzáadja ezt a tanúsítványt az adatbázishoz, az eszköz belső vezérlőprogramja megbízik a tanúsítvány által aláírt rendszerindító alkalmazásokban.

   1. Nyisson meg egy rendszergazdai parancssort, és állítsa be a beállításkulcsot az adatbázisra való frissítés végrehajtásához a következő paranccsal:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      FONTOS Mielőtt továbblép a 2. és 3. lépésre, mindenképpen indítsa újra az eszközt kétszer a frissítés telepítésének befejezéséhez.

   2. Futtassa a következő PowerShell-parancsot rendszergazdaként, és ellenőrizze, hogy az adatbázis frissítése sikeresen megtörtént-e. Ennek a parancsnak Igaz értéket kell visszaadnia.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Frissítse a Rendszerindítás-kezelőt az eszközön.

   Ez a lépés egy rendszerindítás-kezelő alkalmazást telepít az eszközre, amely a "Windows UEFI CA 2023" tanúsítvánnyal van aláírva.

   1. Nyisson meg egy rendszergazdai parancssort, és állítsa be a beállításkulcsot a "'Windows UEFI CA 2023" aláírt rendszerindítás-kezelő telepítéséhez:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Indítsa újra az eszközt kétszer.

   3. Rendszergazdaként csatlakoztassa az EFI-partíciót, hogy készen álljon a vizsgálatra:

      mountvol s: /s

   4. Ellenőrizze, hogy az "s:\efi\microsoft\boot\bootmgfw.efi" fájl alá van-e írva a "Windows UEFI CA 2023" tanúsítvánnyal. Ehhez kövesse a következő lépéseket:

      1. Kattintson a Start gombra, írja be a parancssor kifejezést a Keresés mezőbe, majd kattintson a Parancssor elemre.

      2. A Parancssor ablakban írja be a következő parancsot, majd nyomja le az Enter billentyűt:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. A Fájlkezelőben kattintson a jobb gombbal a C:\bootmgfw_2023.efi fájlra, kattintson a Tulajdonságok elemre, majd válassza a Digitális aláírások lapot.

      4. Az Aláírás listában ellenőrizze, hogy a tanúsítványlánc tartalmazza-e a Windows UEFI CA 2023-at. A tanúsítványláncnak a következő képernyőképen kell megegyeznie:
         
         

3. Engedélyezze a visszavonást.

   Az UEFI Tiltott lista (DBX) a nem megbízható UEFI-modulok betöltésének letiltására szolgál. Ebben a lépésben a DBX frissítése hozzáadja a "Windows Production CA 2011" tanúsítványt a DBX-hez. Ez azt eredményezi, hogy a tanúsítvány által aláírt rendszerindítás-kezelők nem lesznek megbízhatók.

   FIGYELMEZTETÉS: A harmadik kockázatcsökkentés alkalmazása előtt hozzon létre egy helyreállítási flash meghajtót, amely a rendszer elindításához használható. Ennek módjáról a Windows telepítési adathordozójának frissítése című szakaszban talál további információt.

   Ha a rendszer nem indítható állapotba kerül, a Helyreállítási eljárás szakasz lépéseit követve állítsa vissza az eszközt a visszavonás előtti állapotba.

   1. Adja hozzá a "Windows Production PCA 2011" tanúsítványt a Secure Boot UEFI Forbidden List (DBX) listához. Ehhez nyisson meg egy parancssori ablakot rendszergazdaként, írja be a következő parancsot, majd nyomja le az Enter billentyűt:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Indítsa újra az eszközt kétszer , és győződjön meg arról, hogy teljesen újraindult.

   3. A telepítési és visszavonási lista sikeres alkalmazásának ellenőrzéséhez keresse meg a 1037-et az eseménynaplóban.
      
      További információ az 1037-s eseményről: KB5016061: Secure Boot DB és DBX változófrissítési események. Vagy futtassa a következő PowerShell-parancsot rendszergazdaként, és győződjön meg arról, hogy igaz értéket ad vissza:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011' 

4. Alkalmazza az SVN-frissítést a belső vezérlőprogramra.
   
   A 2. lépésben üzembe helyezett Rendszerindítás-kezelő új önvisszavonási funkcióval rendelkezik. Amikor a rendszerindítás-kezelő elindul, önellenőrzést végez a belső vezérlőprogramban tárolt biztonságos verziószám (SVN) és a rendszerindítás-kezelőbe beépített SVN összehasonlításával. Ha a Boot Manager SVN alacsonyabb, mint a belső vezérlőprogramban tárolt SVN, a rendszerindítás-kezelő megtagadja a futtatását. Ez a funkció megakadályozza, hogy a támadó visszaállítsa a Rendszerindítás-kezelőt egy régebbi, nem frissített verzióra.
   
   A jövőbeli frissítésekben, ha egy jelentős biztonsági problémát kijavítanak a rendszerindítás-kezelőben, az SVN-szám a rendszerindítás-kezelőben és a belső vezérlőprogram frissítésében is növekszik. Mindkét frissítés ugyanabban az összegző frissítésben jelenik meg, hogy a javított eszközök védve legyenek. Az SVN frissítésekor minden rendszerindító adathordozót frissíteni kell.
   
   2024. július 9-től kezdődően a rendszerindítási kezelőben és a belső vezérlőprogram frissítésében növekszik az SVN. A belső vezérlőprogram frissítése nem kötelező, és az alábbi lépésekkel alkalmazható:

   1. Nyisson meg egy rendszergazdai parancssort, és futtassa a következő parancsot a "'Windows UEFI CA 2023" aláírt rendszerindítás-kezelő telepítéséhez:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. Indítsa újra az eszközt kétszer.

Rendszerindító adathordozó

Fontos lesz frissíteni a rendszerindító adathordozót, miután az üzembehelyezési fázis elkezdődött a környezetben.

Útmutató a rendszerindító adathordozó frissítéséhez a cikk későbbi frissítéseihez. A következő szakaszban usb-meghajtót hozhat létre az eszköz helyreállításához.

Windows telepítési adathordozó frissítése

A Helyreállítási meghajtó létrehozása alkalmazást az alábbi lépésekkel használhatja. Ezzel az adathordozóval újratelepíthet egy eszközt, ha nagyobb probléma, például hardverhiba lép fel, a helyreállítási meghajtóval újratelepítheti a Windowst.

1. Nyissa meg azt az eszközt, amelyen a 2024. július 9-i frissítések és az első kockázatcsökkentési lépés (a biztonságos rendszerindítási adatbázis frissítése) lett alkalmazva.

2. A Start menüben keresse meg a "Helyreállítási meghajtó létrehozása" vezérlőpulti kisalkalmazást, és kövesse az utasításokat a helyreállítási meghajtó létrehozásához.

3. Az újonnan létrehozott flash meghajtó csatlakoztatásával (például "D:" meghajtóként) futtassa a következő parancsokat rendszergazdaként. Írja be az alábbi parancsok mindegyikét, majd nyomja le az Enter billentyűt:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Ha a környezetében a Telepíthető adathordozó frissítése dinamikus frissítéssel című útmutató segítségével kezeli a telepíthető adathordozót, kövesse az alábbi lépéseket. Ezek a további lépések létrehoznak egy rendszerindító flash meghajtót, amely a "Windows UEFI CA 2023" aláíró tanúsítvány által aláírt rendszerindító fájlokat használja.

1. Nyissa meg azt az eszközt, amelyen a 2024. július 9-i frissítések és az első kockázatcsökkentési lépés (a biztonságos rendszerindítási adatbázis frissítése) lett alkalmazva.

2. A 2024. július 9-i frissítéseket tartalmazó adathordozó létrehozásához kövesse az alábbi hivatkozás lépéseit. Windows telepítési adathordozó frissítése dinamikus frissítéssel

3. Helyezze az adathordozó tartalmát egy USB-meghajtóra, és csatlakoztassa az ujjlenyomatot meghajtóbetűjelként. Csatlakoztassa például az ujjlenyomat-meghajtót "D:" néven.

4. Futtassa a következő parancsokat egy parancsablakból rendszergazdaként. Írja be az alábbi parancsokat, majd nyomja le az Enter billentyűt.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Ha egy eszköz biztonsági rendszerindítási beállításai a kockázatcsökkentések alkalmazása után az alapértelmezett értékre állíthatók vissza, az eszköz nem indul el. A probléma megoldásához a javítóalkalmazás szerepel a 2024. július 9-i frissítésekben, amelyek a "Windows UEFI CA 2023" tanúsítvány adatbázisra való újbóli alkalmazásához használhatók (1. kockázatcsökkentés).

1. Nyissa meg azt az eszközt, amelyen a 2024. július 9-i frissítéseket alkalmazták.

2. Egy parancsablakban másolja a helyreállítási alkalmazást a flash meghajtóra a következő parancsokkal (feltéve, hogy a flash meghajtó a "D:" meghajtó). Írja be külön az egyes parancsokat, majd nyomja le az Enter billentyűt:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Azon az eszközön, amelyen a Biztonságos rendszerindítási beállítások visszaállnak az alapértelmezett értékre, helyezze be a flash meghajtót, indítsa újra az eszközt, és indítsa el a flash meghajtóról.

Frissítések időzítése

A frissítések az alábbiak szerint jelennek meg:

• Kezdeti üzembe helyezés Ez a fázis a 2023. május 9-én kiadott frissítésekkel kezdődött, és alapvető kockázatcsökkentési megoldásokat biztosított a kockázatcsökkentések engedélyezéséhez szükséges manuális lépésekkel.

• Második üzembe helyezés Ez a fázis a 2023. július 11-én kiadott frissítésekkel kezdődött, amelyek egyszerűsített lépésekkel lehetővé tették a probléma megoldását.

• Kiértékelési fázis Ez a fázis 2024. április 9-én kezdődik, és további rendszerindítás-kezelői kockázatcsökkentéseket ad hozzá.

• Üzembehelyezési fázis Ekkor bátorítjuk az összes ügyfelet a kockázatcsökkentések üzembe helyezésére és az adathordozók frissítésére.

• Kényszerítési fázis A kényszerítési fázis, amely véglegessé teszi a kockázatcsökkentéseket. A fázis dátumát egy későbbi időpontban jelentik be.

Megjegyzés A kiadási ütemezés szükség szerint módosítható.

A CVE-2023-24932-höz kapcsolódó Windows-eseménynapló-hibák

Az adatbázis és a DBX frissítésével kapcsolatos Windows-eseménynapló-bejegyzések részletes leírását a következő KB5016061: Secure Boot DB és DBX változófrissítési események.

A kockázatcsökkentések alkalmazásával kapcsolatos "sikeres" eseményeket az alábbi táblázat sorolja fel.

Gyakori kérdések (GYIK)

Rendszerindítási problémák elhárítása

Mindhárom kockázatcsökkentés alkalmazása után az eszköz belső vezérlőprogramja nem indul el a Windows Production PCA 2011 által aláírt rendszerindítás-kezelővel. A belső vezérlőprogram által jelentett rendszerindítási hibák eszközspecifikusak. Tekintse meg a Helyreállítási eljárás szakaszt.

Helyreállítási eljárás

Ha hiba lép fel a kockázatcsökkentés alkalmazása közben, és nem tudja elindítani az eszközt, vagy külső adathordozóról (például egy pendrive-ról vagy PXE-rendszerindításról) kell indulnia, próbálkozzon az alábbi javaslatokkal:

1. Kapcsolja ki a Biztonságos rendszerindítást.
   
   Ez az eljárás különbözik az eszközgyártóktól és a modellektől. Adja meg az eszközök UEFI BIOS menüjét, lépjen a Biztonságos rendszerindítási beállítások területre, és kapcsolja ki. A folyamatra vonatkozó részletekért tekintse meg az eszköz gyártójának dokumentációját. További információt a Biztonságos rendszerindítás letiltása című témakörben talál.

2. Állítsa alaphelyzetbe a biztonságos rendszerindítási kulcsokat az alapértelmezett gyári beállításokra.

   Ha az eszköz támogatja a biztonságos rendszerindítási kulcsok gyári alapértékre állítását, most hajtsa végre ezt a műveletet.

   JEGYZET Egyes eszközgyártók a Biztonságos rendszerindítás változók esetében "Clear" (Törlés) és "Reset" (Alaphelyzetbe állítás) beállítással is rendelkeznek, amely esetben a "Reset" (Alaphelyzetbe állítás) lehetőséget kell használni. A cél az, hogy a Secure Boot változókat visszahelyezzük a gyártók alapértelmezett értékeire.

   Az eszköznek most kell elindulnia, de vegye figyelembe, hogy sebezhető a boot-kit kártevők ellen. A biztonságos rendszerindítás újbóli engedélyezéséhez végezze el a helyreállítási folyamat 5. lépését.

3. Próbálja meg elindítani a Windowst a rendszerlemezről.

   1. Bejelentkezés a Windowsba.

   2. Futtassa az alábbi parancsokat egy rendszergazdai parancssorból a rendszerindító fájlok visszaállításához az EFI rendszerindítási partíciójában. Írja be külön az egyes parancsokat, majd nyomja le az Enter billentyűt:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. A BCDBoot futtatása a "Rendszerindító fájlok sikeresen létrehozva" értéket adja vissza. Az üzenet megjelenése után indítsa újra az eszközt a Windowsba.

4. Ha a 3. lépés nem tudja helyreállítani az eszközt, telepítse újra a Windowst.

   1. Indítsa el az eszközt a meglévő helyreállítási adathordozóról.

   2. Folytassa a Windows telepítésével a helyreállítási adathordozó használatával.

   3. Bejelentkezés a Windowsba.

   4. Indítsa újra a Windowst annak ellenőrzéséhez, hogy az eszköz visszaindul-e a Windowsba.

5. Engedélyezze újra a Biztonságos rendszerindítást, és indítsa újra az eszközt.
   
   Adja meg az eszköz UEFI menüjét, lépjen a Biztonságos rendszerindítási beállítások területre, és kapcsolja be. A folyamatra vonatkozó részletekért tekintse meg az eszköz gyártójának dokumentációját. További információt a Biztonságos rendszerindítás újbóli engedélyezése című szakaszban talál.

Referenciák

• Útmutató a CVE-2022-21894: The BlackLotus kampányt használó támadások kivizsgálására

• Biztonságos rendszerindítás

• Biztonságos rendszerindítás engedélyezése regisztrált Windows-eszközökön

• A DBX-frissítések alkalmazásakor generált eseményekért lásd: KB5016061: A sebezhető és visszavont rendszerindítás-kezelők kezelése.