Le script de la phase 1 exécutera les étapes 1 et 2 du guide publié par Microsoft, en effectuant les opérations suivantes :

1. Définir la valeur de registre AvailableUpdates sur 0x40
2. Démarrer la tâche planifiée \Microsoft\Windows\PI\Secure-Boot-Update pour exécuter l'étape 1, « Installer les définitions de certificats mises à jour dans la base de données »
3. Valider que l'étape 1 est terminée
4. Définir la valeur de registre AvailableUpdates sur 0x100
5. Démarrer la tâche planifiée \Microsoft\Windows\PI\Secure-Boot-Update pour exécuter l'étape 2, « Mettre à jour le gestionnaire de démarrage sur votre appareil »
6. Valider que l'étape 2 est terminée

La validation est effectuée entre chaque étape, et sera journalisée dans $env:TEMP\BlackLotusPhase1Remediation.log, ainsi que renvoyée à Intune (si le script est exécuté en tant que Remédiation).

Phase 2 : Activation de la révocation et application de la mise à jour SVN au firmware

Organigramme du processus :

Le script de la phase 2 exécutera les étapes 3 et 4 du guide publié par Microsoft, en effectuant les opérations suivantes :

1. Définir la valeur de registre AvailableUpdates sur 0x80
2. Démarrer la tâche planifiée \Microsoft\Windows\PI\Secure-Boot-Update pour exécuter l'étape 3, « Activer la révocation »
3. Valider que l'étape 3 est terminée
4. Définir la valeur de registre AvailableUpdates sur 0x200
5. Démarrer la tâche planifiée \Microsoft\Windows\PI\Secure-Boot-Update pour exécuter l'étape 4, « Appliquer la mise à jour SVN au firmware »
6. Valider que l'étape 4 est terminée