KB5025885: Come gestire le revoche di Windows Boot Manager per le modifiche di avvio protetto associate a CVE-2023-24932

Contenuto dell'articolo

• Riassunto

  • Intervenire

  • Ambito dell'impatto

  • Informazioni sui rischi

  • Problemi noti

• Linee guida per questa versione

• Linee guida per la distribuzione delle misure di prevenzione

• Supporti di avvio

• Aggiornamento del supporto di installazione di Windows

• Tempi degli aggiornamenti

• Errori del registro eventi di Windows correlati a CVE-2023-24932

• Domande frequenti

• Risoluzione dei problemi di avvio

• Procedura di ripristino

• Riferimenti

• Registro delle modifiche

Riassunto

Questo articolo descrive la protezione contro il bypass della funzionalità di sicurezza di Avvio protetto pubblicamente divulgato che utilizza il bootkit UEFI BlackLotus monitorato da CVE-2023-24932, come abilitare le misure di prevenzione e indicazioni sui supporti di avvio. Un bootkit è un programma dannoso che è stato progettato per caricare il più presto possibile in una sequenza di avvio dispositivi per controllare l'avvio del sistema operativo.

Avvio protetto è consigliato da Microsoft per creare un percorso attendibile e sicuro dall'interfaccia UEFI (Unified Extensible Firmware Interface) tramite la sequenza di avvio attendibile del kernel di Windows. Avvio protetto aiuta a prevenire il malware bootkit nella sequenza di avvio. La disabilitazione di Avvio protetto mette un dispositivo a rischio di essere infettato da malware bootkit. La correzione del bypass dell'avvio protetto descritto in CVE-2023-24932 richiede la revoca dei boot manager. Ciò potrebbe causare problemi per alcune configurazioni di avvio del dispositivo.

Le misure di prevenzione contro il bypass dell'avvio protetto descritte in CVE-2023-24932 sono incluse negli aggiornamenti della sicurezza di Windows rilasciati dopo il 9 aprile 2024 incluso. Tuttavia, queste misure di prevenzione non sono abilitate per impostazione predefinita. Con questi aggiornamenti, è consigliabile iniziare a valutare le modifiche all'interno dell'ambiente. La pianificazione completa è descritta nella sezione Intervallo degli aggiornamenti .

Prima di abilitare queste misure di prevenzione, è consigliabile esaminare attentamente i dettagli in questo articolo e determinare se è necessario abilitare le misure di prevenzione o attendere un aggiornamento futuro da Microsoft. Se scegli di abilitare le misure di prevenzione, devi verificare che i dispositivi siano aggiornati e pronti e comprendere i rischi descritti in questo articolo. 

Linee guida per questa versione

Per questa versione, seguire questi due passaggi.

Passaggio 1: Installare l'aggiornamento

della sicurezza di Windows Installa l'aggiornamento mensile della sicurezza di Windows rilasciato dopo il 9 aprile 2024 incluso nei dispositivi Windows supportati. Questi aggiornamenti includono le misure di prevenzione per CVE-2023-24932, ma non sono abilitate per impostazione predefinita. Tutti i dispositivi Windows devono completare questo passaggio indipendentemente dal fatto che tu abbia intenzione di distribuire le misure di prevenzione.

Passaggio 2: Valutare le modifiche

È consigliabile eseguire le operazioni seguenti:

• Informazioni sulle prime due misure di prevenzione che consentono di aggiornare secure boot DB e boot manager.

• Rivedere la pianificazione aggiornata.

• Inizia a testare le prime due misure di prevenzione contro dispositivi rappresentativi dell'ambiente.

• Iniziare la pianificazione della fase di distribuzione il 9 luglio 2024.

Passaggio 3: Applicare le modifiche

È consigliabile comprendere i rischi evidenziati nella sezione Informazioni sui rischi.

• Comprendere l'impatto sul ripristino e su altri supporti di avvio.

• Inizia a testare la terza prevenzione che non è attendibile per il certificato di firma usato per tutti i responsabili di avvio di Windows precedenti.

Linee guida per la distribuzione delle misure di prevenzione

Prima di seguire questi passaggi per applicare le misure di prevenzione, installa l'aggiornamento mensile della manutenzione di Windows rilasciato il 9 aprile 2024 o successivamente nei dispositivi Windows supportati. Questo aggiornamento include le misure di prevenzione per CVE-2023-24932, ma non sono abilitate per impostazione predefinita. Tutti i dispositivi Windows devono completare questo passaggio indipendentemente dal piano per abilitare le misure di prevenzione.

Per distribuire l'aggiornamento e applicare le revoche, seguire questa procedura:

1. Installare le definizioni dei certificati aggiornate nel database.

   Questo passaggio aggiungerà il certificato "Windows UEFI CA 2023" al "Database della firma di avvio protetto" (DB) della UEFI. Aggiungendo questo certificato al database, il firmware del dispositivo considererà attendibili le applicazioni di avvio firmate da questo certificato.

   1. Aprire un prompt dei comandi dell'amministratore e impostare la chiave del Registro di sistema per eseguire l'aggiornamento a DB immettendo il comando seguente:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      IMPORTANTE Assicurati di riavviare il dispositivo due volte per completare l'installazione dell'aggiornamento prima di procedere ai passaggi 2 e 3.

   2. Eseguire il comando di PowerShell seguente come amministratore e verificare che il database sia stato aggiornato correttamente. Questo comando dovrebbe restituire True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Aggiorna Boot Manager nel tuo dispositivo.

   In questo passaggio verrà installata un'applicazione di gestione avvio nel dispositivo firmata con il certificato "'Windows UEFI CA 2023".

   1. Apri un prompt dei comandi dell'amministratore e imposta la chiave del Registro di sistema per installare il boot manager firmato "'Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Riavvia il dispositivo due volte.

   3. In qualità di amministratore, monta la partizione EFI per prepararla per l'ispezione:

      mountvol s: /s

   4. Verificare che il file "s:\efi\microsoft\boot\bootmgfw.efi" sia firmato dal certificato "WINDOWS UEFI CA 2023". A tale scopo, esegui la procedura seguente:

      1. Fare clic su Start, digitare prompt dei comandi nella casella Search e quindi fare clic su Prompt dei comandi.

      2. Nella finestra del prompt dei comandi digita il comando seguente e quindi premi INVIO:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. In Gestione file fare clic con il pulsante destro del mouse sul file C:\bootmgfw_2023.efi, scegliere Proprietà e quindi selezionare la scheda Firme digitali .

      4. Nell'elenco Firma verificare che la catena di certificati includa la CA 2023 dell'interfaccia UEFI di Windows. La catena di certificati deve corrispondere allo screenshot seguente:
         
         

3. Abilitare la revoca.

   L'elenco UEFI Forbidden List (DBX) viene utilizzato per bloccare il caricamento dei moduli UEFI non attendibili. In questo passaggio, l'aggiornamento del DBX aggiungerà il certificato "CA 2011 di Windows Production" al DBX. In questo modo, tutti i responsabili di avvio firmati da questo certificato non saranno più considerati attendibili.

   AVVISO: prima di applicare la terza prevenzione, crea un'unità flash di ripristino che possa essere utilizzata per avviare il sistema. Per informazioni su come eseguire questa operazione, vedi la sezione Aggiornamento dei supporti di installazione di Windows.

   Se il sistema entra in uno stato non avviabile, segui i passaggi della sezione Procedura di ripristino per ripristinare lo stato di pre-revoca del dispositivo.

   1. Aggiungi il certificato "Windows Production PCA 2011" all'elenco DBX (Secure Boot UEFI Forbidden List). A questo scopo, aprire una finestra del prompt dei comandi come amministratore, digitare il comando seguente e quindi premere INVIO:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Riavvia il dispositivo due volte e verifica che sia stato completamente riavviato.

   3. Verificare che l'elenco di installazione e revoche sia stato applicato correttamente cercando l'evento 1037 nel registro eventi.
      
      Per informazioni sull'evento 1037, vedere KB5016061: Secure Boot DB and DBX variable update events. In alternativa, eseguire il comando di PowerShell seguente come amministratore e assicurarsi che restituisca True:

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

Supporti di avvio

Sarà importante aggiornare il supporto di avvio dopo l'inizio della fase di distribuzione nell'ambiente. Le linee guida e gli strumenti per l'aggiornamento dei supporti verranno forniti in tempo per la fase di distribuzione. La fase di distribuzione dovrebbe iniziare il 9 luglio 2024.

Esempi di supporti di avvio e supporti di ripristino interessati da questo problema:

• Supporto di avvio creato tramite Crea un'unità di ripristino.

• Backup di Windows che sono stati visualizzati prima dell'applicazione delle misure di prevenzione. Questi non saranno direttamente utilizzabili per ripristinare l'installazione di Windows dopo che le revoche sono state abilitate nel tuo dispositivo.

• CD/DVD personalizzato o partizione di ripristino creata dall'utente, dal produttore del dispositivo (OEM) o da aziende.

• ISO (tramite download o tramite ADK).

• Avvio di rete:

  • Servizi di distribuzione Windows.

  • Preboot Execution Environment boot services (PXE boot services).

  • Microsoft Deployment Toolkit.

  • Avvio HTTPS.

• Supporto di installazione e ripristino OEM.

• Supporti Windows ufficiali di Microsoft, tra cui:

  • Supporti di vendita al dettaglio.

  • Strumento per la creazione dei supporti (unità ISO o USB).

  • VLSC.

  • Download sottoscrittori di Visual Studio.

  • Unità USB.

• Windows PE.

• Windows installato su hardware fisico o macchine virtuali.

• Windows Validation OS.

Se usi supporti di avvio con un dispositivo Windows personale, potresti dover eseguire una o più delle operazioni seguenti prima di applicare le revoche:

• Se usi il software di backup personale per salvare il contenuto del dispositivo, assicurati di eseguire un backup completo dopo aver applicato le misure di prevenzione del 9 aprile 2024.

• Se usi un'immagine del disco di avvio (ISO), un supporto CD-ROM o DVD, aggiorna il supporto seguendo le istruzioni da fornire in un secondo momento.

Azienda

• Vedi le linee guida complete e gli script per aggiornare i supporti di installazione di Windows con l'aggiornamento dinamico.

• Se supporti scenari di avvio o ripristino di rete nel tuo ambiente, dovrai aggiornare tutti i supporti e le immagini. Ciò può includere le seguenti opzioni di avvio o ripristino:

  • Microsoft Deployment Toolkit.

  • Microsoft Endpoint Configuration Manager.

  • Servizi di distribuzione Windows.

  • Avvio PxE.

  • Avvio HTTPS e altri scenari di avvio della rete.

• Un modo per farlo consiste nell'usare l'installazione offline del pacchetto di Gestione e manutenzione immagini distribuzione nelle immagini servite da questi scenari. Ciò include l'aggiornamento dei file di avvio offerti da questi servizi.

• Se usi il software di backup per salvare il contenuto dell'installazione di Windows in un'immagine di ripristino, assicurati di eseguire un backup completo dopo aver applicato le misure di prevenzione del 9 aprile 2024. Assicurati di eseguire il backup della partizione del disco EFI oltre alla partizione del sistema operativo Windows. Identificare chiaramente i backup effettuati prima di applicare le misure di prevenzione del 9 aprile 2024 rispetto a quelle effettuate dopo l'applicazione delle misure di prevenzione.

OEM per PC Windows

• Vedi le linee guida complete e gli script per aggiornare i supporti di installazione di Windows con l'aggiornamento dinamico.

Aggiornamento del supporto di installazione di Windows

Puoi usare l'applicazione Crea unità di ripristino eseguendo questa procedura. Questo supporto può essere usato per reinstallare un dispositivo nel caso in cui si sia verificato un problema importante, ad esempio un errore hardware, potrai usare l'unità di ripristino per reinstallare Windows.

1. Passa a un dispositivo in cui sono stati applicati gli aggiornamenti del 9 aprile 2024 e il primo passaggio di prevenzione (aggiornamento del DB di avvio protetto).

2. Dal menu Start cerca l'applet del Pannello di controllo "Crea un'unità di ripristino" e segui le istruzioni per creare un'unità di ripristino.

3. Con l'unità flash appena creata montata (ad esempio, come unità "D:"), esegui i comandi seguenti come amministratore. Digitare i comandi seguenti e quindi premere INVIO:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Se gestisci i supporti installabili nel tuo ambiente usando il supporto di installazione aggiorna Windows con le indicazioni sull'aggiornamento dinamico , segui questi passaggi. Questi passaggi aggiuntivi creeranno un'unità flash avviabile che usa i file di avvio firmati dal certificato di firma "WINDOWS UEFI CA 2023".

1. Passa a un dispositivo in cui sono stati applicati gli aggiornamenti del 9 aprile 2024 e il primo passaggio di prevenzione (aggiornamento del db di avvio protetto).

2. Segui i passaggi nel collegamento seguente per creare elementi multimediali con gli aggiornamenti del 9 aprile 2024. Aggiornare il supporto di installazione di Windows con l'aggiornamento dinamico

3. Posiziona il contenuto del supporto su una chiavetta USB e monta la chiavetta usb come lettera di unità. Ad esempio, montare la chiavetta usb come "D:".

4. Eseguire i comandi seguenti da una finestra di comando come amministratore. Digitare i comandi seguenti e quindi premere INVIO.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Se dopo l'applicazione delle misure di prevenzione, un dispositivo ha le impostazioni di avvio protetto ripristinate alle impostazioni predefinite, il dispositivo non verrà avviato. Per risolvere questo problema, è inclusa un'applicazione di ripristino con gli aggiornamenti del 9 aprile 2024 che possono essere usati per riapplicare il certificato "WINDOWS UEFI CA 2023" al DATABASE (prevenzione n. 1).

1. Passa a un dispositivo in cui sono stati applicati gli aggiornamenti del 9 aprile 2024.

2. In una finestra di comando, copia l'app di ripristino nell'unità flash utilizzando i comandi seguenti (presupponendo che l'unità flash sia l'unità "D:"). Digitare ogni comando separatamente e quindi premere INVIO:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Nel dispositivo con le impostazioni di avvio protetto ripristinate le impostazioni predefinite, inserisci l'unità flash, riavvia il dispositivo e avvialo dall'unità flash.

Tempi degli aggiornamenti

Aggiornamenti vengono rilasciati come segue:

• Distribuzione iniziale Questa fase è iniziata con gli aggiornamenti rilasciati il 9 maggio 2023 e ha fornito misure di prevenzione di base con passaggi manuali per abilitare queste misure di prevenzione.

• Second Deployment Questa fase è iniziata con gli aggiornamenti rilasciati l'11 luglio 2023, che hanno aggiunto passaggi semplificati per abilitare le misure di prevenzione per il problema.

• Fase di valutazione Questa fase inizierà il 9 aprile 2024 e aggiungerà altre misure di prevenzione per boot manager.

• Fase di distribuzione finale In questo momento incoraggeremo tutti i clienti a iniziare a distribuire le misure di prevenzione e ad aggiornare i supporti.

• Fase di applicazione Fase di applicazione che renderà permanenti le misure di prevenzione. La data di questa fase verrà annunciata in un secondo momento.

Nota La pianificazione dei rilasci potrebbe essere modificata in base alle esigenze.

Errori del registro eventi di Windows correlati a CVE-2023-24932

Le voci del registro eventi di Windows relative all'aggiornamento di DB e DBX sono descritte in dettaglio negli eventi di aggiornamento delle variabili KB5016061: Secure Boot DB e DBX.

Gli eventi "riusciti" relativi all'applicazione delle misure di prevenzione sono elencati nella tabella seguente.

Domande frequenti

Risoluzione dei problemi di avvio

Dopo aver applicato tutte e tre le misure di prevenzione, il firmware del dispositivo non verrà avviato con un boot manager firmato da Windows Production PCA 2011. Gli errori di avvio segnalati dal firmware sono specifici del dispositivo. Fai riferimento alla sezione Procedura di ripristino .

Procedura di ripristino

Se si verificano problemi durante l'applicazione delle misure di prevenzione e non riesci ad avviare il dispositivo o devi avviare il dispositivo da un supporto esterno (ad esempio una chiavetta USB o un avvio PXE), prova i suggerimenti seguenti:

1. Disattiva Avvio protetto.
   
   Questa procedura è diversa tra produttori e modelli di dispositivi. Immetti il menu BIOS UEFI dei tuoi dispositivi, passa alle impostazioni di avvio protetto e disattivalo. Consulta la documentazione del produttore del dispositivo per informazioni specifiche su questo processo. Ulteriori dettagli sono disponibili in Disabilitazione dell'avvio protetto.

2. Ripristina le impostazioni predefinite dei tasti di avvio protetto.

   Se il dispositivo supporta la reimpostazione delle chiavi di avvio protetto alle impostazioni predefinite, esegui subito questa azione.

   NOTA Alcuni produttori di dispositivi hanno sia un'opzione "Cancella" che un'opzione "Reimposta" per le variabili di avvio protetto, nel qual caso deve essere usato "Reimposta". L'obiettivo è quello di riportare le variabili di avvio protetto ai valori predefiniti dei produttori.

   Il dispositivo dovrebbe avviarsi ora, ma tieni presente che è vulnerabile al malware del boot kit. Assicurati di completare il passaggio 5 di questo processo di ripristino per abilitare nuovamente l'avvio protetto.

3. Prova ad avviare Windows dal disco di sistema.

   1. Accedi a Windows.

   2. Esegui i comandi seguenti da un prompt dei comandi dell'amministratore per ripristinare i file di avvio nella partizione di avvio del sistema EFI. Digitare ogni comando separatamente e quindi premere INVIO:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. L'esecuzione di BCDBoot restituisce "File di avvio creati correttamente". Dopo aver visualizzato questo messaggio, riavvia il dispositivo di nuovo a Windows.

4. Se il passaggio 3 non recupera correttamente il dispositivo, reinstalla Windows.

   1. Avvia il dispositivo da un supporto di ripristino esistente.

   2. Procedere all'installazione di Windows usando il supporto di ripristino.

   3. Accedi a Windows.

   4. Riavvia Windows per verificare che il dispositivo torni a Windows.

5. Abilita nuovamente Avvio protetto e riavvia il dispositivo.
   
   Immetti il menu UEFI del dispositivo, passa alle impostazioni di avvio protetto e attivalo. Consulta la documentazione del produttore del dispositivo per informazioni specifiche su questo processo. Ulteriori informazioni sono disponibili nella sezione "Riattiva avvio protetto".

Riferimenti

• Linee guida per indagare sugli attacchi con CVE-2022-21894: la campagna BlackLotus

• Avvio protetto

• Abilitare Avvio protetto nei dispositivi Windows registrati

• Per gli eventi generati durante l'applicazione degli aggiornamenti DBX, vedi KB5016061: Risoluzione dei problemi di boot manager vulnerabili e revocati.