Este script de PowerShell automatiza los pasos de mitigación de Secure Boot para CVE-2023-24932, tal como se describe en la Guía de seguridad de Microsoft. Gestiona todo el proceso, incluidas las actualizaciones del registro, los reinicios y la validación del registro de eventos, para garantizar que su sistema esté protegido contra el bootkit UEFI BlackLotus.
Características
Orquestación totalmente automatizada: El script le guía a través de cada paso, incluidos múltiples reinicios, y se reanuda automáticamente después de cada reinicio.
Validación del registro de eventos: Busca IDs de evento específicos (p. ej., 1799, 1037) para confirmar actualizaciones exitosas.
Detección de BitLocker: Advierte si BitLocker está activo y se asegura de que tenga la clave de recuperación.
Comprobaciones de compatibilidad de hardware: Bloquea la ejecución en configuraciones no compatibles (p. ej., TPM 2.0 en Windows Server 2012/R2).
Opciones de verificación manual: Permite realizar comprobaciones manuales de la firma del Administrador de arranque y de las bases de datos de Secure Boot.
Pasos cubiertos
El script sigue la guía oficial de Microsoft y ejecuta los siguientes pasos en orden:
Actualización de DB (0x40)
Añade el certificado "Windows UEFI CA 2023" a la base de datos de Secure Boot (DB).
Requiere 2 reinicios.
Actualización del Administrador de arranque (0x100)
Actualiza el Administrador de arranque a una versión firmada con el certificado "Windows UEFI CA 2023".
Requiere 2 reinicios.
Verificación manual (opcional)
Copia el Administrador de arranque (bootmgfw.efi) para la verificación manual de la firma.
Comprueba si el certificado "Windows UEFI CA 2023" está presente en la DB.
Actualización de DBX (0x80)
Añade el certificado "Windows Production PCA 2011" a la base de datos de firmas prohibidas de Secure Boot (DBX).
Bloquea los Administradores de arranque antiguos firmados con este certificado.
Requiere 2 reinicios.
Actualización de SVN (0x200)
Actualiza el número de versión segura (SVN) de Secure Boot para prevenir ataques de reversión.
Requiere 2 reinicios.
Informe final
Muestra un resumen de la configuración de Secure Boot y de las entradas del registro de eventos.
Requisitos previos
Versión de Windows: Windows 10/11, Windows Server 2016/2019/2022 o posterior.
Privilegios de administrador: El script debe ejecutarse como administrador.
Secure Boot habilitado: Asegúrese de que Secure Boot esté habilitado en el firmware UEFI de su sistema.
Clave de recuperación de BitLocker: Si BitLocker está activo, asegúrese de tener la clave de recuperación.
El script busca los siguientes IDs de evento para confirmar actualizaciones exitosas:
1036: Actualización de DB (0x40) exitosa.
1799: Actualización del Administrador de arranque (0x100) exitosa.
1037: Actualización de DBX (0x80) exitosa.
Si no se encuentra un evento, el script mostrará una advertencia, pero continuará la ejecución. Puede verificar los registros manualmente con el Visor de eventos.
Ejemplo tras una ejecución correcta de este script:
Notas
Cambios irreversibles: Una vez aplicada la actualización de DBX (0x80), no se puede revertir sin restablecer Secure Boot.
Medios de recuperación: Asegúrese de tener medios de recuperación actualizados antes de aplicar la actualización de DBX. Los medios antiguos podrían no arrancar después de la actualización.
Pruebas: Pruebe el script en un entorno que no sea de producción antes de implementarlo ampliamente.
Solución de problemas
Errores del registro de eventos: Si el script no encuentra los IDs de evento esperados, revise manualmente los registros del sistema en busca de errores.
Recuperación de BitLocker: Si el sistema entra en modo de recuperación de BitLocker, use la clave de recuperación para desbloquear la unidad.
Problemas de firmware: Es posible que algunos firmware UEFI no admitan las actualizaciones necesarias. Póngase en contacto con el proveedor de hardware para obtener actualizaciones.
Este script se proporciona bajo la Licencia MIT. Úselo bajo su propio riesgo.
Contribuciones
Si encuentra problemas o tiene sugerencias de mejora, abra un issue o envíe una pull request en GitHub.
Descargo de responsabilidad
Este script se proporciona tal cual, sin garantía de ningún tipo. Pruebe siempre en un entorno que no sea de producción antes de implementarlo en sistemas en producción.
v1ckxy/orchestrated-powershell-for-cve-2023-24932-en
