BlackLotus

BlackLotus المعروف أيضًا باسم CVE-2023-24932، هي نصوص برمجية للإصلاح لأنظمة Intune وConfigMgr والاستخدام المخصص العام.

المقالة: https://ajf.one/blacklotus

ملاحظات عامة

• لا تبدأ نصوص الإصلاح هذه أي إعادة تشغيل. تم تصميمها لتُشغَّل "على مدار الوقت"، وفي النهاية سيقوم الجهاز بالإبلاغ بأنه متوافق على مدار عمليات إعادة التشغيل "الطبيعية"، سواء بسبب التحديثات الشهرية أو من قبل المستخدم أو غير ذلك.
• يجب وضع نص الإصلاح بأكمله داخل نص الكشف (Detection Script) لاستخدام Intune Remediation وConfigMgr CI. وذلك بسبب كيفية عمل هذه النصوص البرمجية كقصة "اختر مغامرتك الخاصة"، مع نقاط خروج متعددة، كل منها يعيد مخرجاته الخاصة.
• في بداية كل نص توجد معادلات لنصوص "الكشف"، وذلك لمنع إجراء أي تغييرات أو تسجيل مفرط على جهاز متوافق بالفعل.
• لا تتردد في فتح مشكلة (Issue) هنا، أو مراسلتي على Discord في WinAdmins (@krbtgt) إذا واجهت أي مشاكل أو كان لديك أي ملاحظات، سأكون ممتنًا جدًا!

المرحلة 1: تثبيت تعريفات الشهادات المحدثة في قاعدة البيانات، وتحديث Boot Manager على جهازك

مخطط سير العملية:

سينفذ نص المرحلة 1 الخطوتين 1 و2 من الإرشادات المنشورة من Microsoft، عن طريق القيام بما يلي:

1. تعيين قيمة التسجيل AvailableUpdates إلى 0x40
2. بدء المهمة المجدولة \Microsoft\Windows\PI\Secure-Boot-Update لتنفيذ الخطوة 1، "تثبيت تعريفات الشهادات المحدثة في قاعدة البيانات"
3. التحقق من اكتمال الخطوة 1
4. تعيين قيمة التسجيل AvailableUpdates إلى 0x100
5. بدء المهمة المجدولة \Microsoft\Windows\PI\Secure-Boot-Update لتنفيذ الخطوة 2، "تحديث Boot Manager على جهازك"
6. التحقق من اكتمال الخطوة 2

يتم التحقق بين كل خطوة، وسيتم تسجيل ذلك في $env:TEMP\BlackLotusPhase1Remediation.log، بالإضافة إلى إعادته إلى Intune (إذا تم تشغيل النص كإصلاح (Remediation)).

المرحلة 2: تفعيل الإبطال وتطبيق تحديث SVN على البرنامج الثابت (Firmware)

مخطط سير العملية:

سينفذ نص المرحلة 2 الخطوتين 3 و4 من الإرشادات المنشورة من Microsoft، عن طريق القيام بما يلي:

1. تعيين قيمة التسجيل AvailableUpdates إلى 0x80
2. بدء المهمة المجدولة \Microsoft\Windows\PI\Secure-Boot-Update لتنفيذ الخطوة 3، "تفعيل الإبطال"
3. التحقق من اكتمال الخطوة 3
4. تعيين قيمة التسجيل AvailableUpdates إلى 0x200
5. بدء المهمة المجدولة \Microsoft\Windows\PI\Secure-Boot-Update لتنفيذ الخطوة 4، "تطبيق تحديث SVN على البرنامج الثابت"
6. التحقق من اكتمال الخطوة 4