BlackLotus

BlackLotus उर्फ CVE-2023-24932 रिमेडिएशन स्क्रिप्ट Intune, ConfigMgr और सामान्य एड-हॉक उपयोग के लिए।

ब्लॉग पोस्ट: https://ajf.one/blacklotus

सामान्य नोट

• ये रिमेडिएशन स्क्रिप्ट किसी भी रीबूट की शुरुआत नहीं करतीं। ये "समय के साथ" चलाने के लिए डिज़ाइन की गई हैं, और अंततः डिवाइस अपने "प्राकृतिक" रीबूट के दौरान अनुपालक (compliant) रिपोर्ट करेगा, चाहे वह मासिक अपडेट, उपयोगकर्ता-आरंभित, या अन्य कारणों से हो।
• रिमेडिएशन स्क्रिप्ट की संपूर्णता को Intune Remediation और ConfigMgr CI उपयोग के लिए डिटेक्शन स्क्रिप्ट के भीतर रखा जाना चाहिए। ऐसा इसलिए है क्योंकि ये स्क्रिप्ट "अपना खुद का साहसिक चुनें" (choose your own adventure) कहानी की तरह काम करती हैं, जिनमें कई निकास बिंदु होते हैं, और प्रत्येक अपना स्वयं का आउटपुट लौटाता है।
• प्रत्येक स्क्रिप्ट की शुरुआत में "डिटेक्शन" स्क्रिप्ट के समकक्ष होते हैं, ताकि पहले से अनुपालक डिवाइस पर कोई बदलाव करने या अत्यधिक लॉगिंग करने से रोका जा सके।
• बेझिझक यहाँ एक issue खोलें, या यदि आपको कोई समस्या आती है या कोई प्रतिक्रिया है तो WinAdmins में Discord पर मुझे (@krbtgt) पिंग करें, यह बहुत सराहनीय होगा!

चरण 1: DB में अद्यतन प्रमाणपत्र परिभाषाएँ स्थापित करना, और आपके डिवाइस पर बूट प्रबंधक (Boot Manager) को अपडेट करना

प्रक्रिया फ़्लोचार्ट:

चरण 1 स्क्रिप्ट Microsoft द्वारा प्रकाशित मार्गदर्शन से चरण 1 और 2 निष्पादित करेगी, निम्न कार्य करके:

1. AvailableUpdates रजिस्ट्री मान को 0x40 पर सेट करें
2. चरण 1 करने के लिए \Microsoft\Windows\PI\Secure-Boot-Update अनुसूचित कार्य प्रारंभ करें, "DB में अद्यतन प्रमाणपत्र परिभाषाएँ स्थापित करें"
3. सत्यापित करें कि चरण 1 पूर्ण है
4. AvailableUpdates रजिस्ट्री मान को 0x100 पर सेट करें
5. चरण 2 करने के लिए \Microsoft\Windows\PI\Secure-Boot-Update अनुसूचित कार्य प्रारंभ करें, "अपने डिवाइस पर बूट प्रबंधक (Boot Manager) को अपडेट करें"
6. सत्यापित करें कि चरण 2 पूर्ण है

प्रत्येक चरण के बीच सत्यापन किया जाता है, और इसे $env:TEMP\BlackLotusPhase1Remediation.log में लॉग किया जाएगा, साथ ही Intune को भी लौटाया जाएगा (यदि स्क्रिप्ट रिमेडिएशन के रूप में चल रही है)।

चरण 2: रद्दीकरण (revocation) सक्षम करना और फर्मवेयर पर SVN अद्यतन लागू करना

प्रक्रिया फ़्लोचार्ट:

चरण 2 स्क्रिप्ट Microsoft द्वारा प्रकाशित मार्गदर्शन से चरण 3 और 4 निष्पादित करेगी, निम्न कार्य करके:

1. AvailableUpdates रजिस्ट्री मान को 0x80 पर सेट करें
2. चरण 3 करने के लिए \Microsoft\Windows\PI\Secure-Boot-Update अनुसूचित कार्य प्रारंभ करें, "रद्दीकरण सक्षम करें"
3. सत्यापित करें कि चरण 3 पूर्ण है
4. AvailableUpdates रजिस्ट्री मान को 0x200 पर सेट करें
5. चरण 4 करने के लिए \Microsoft\Windows\PI\Secure-Boot-Update अनुसूचित कार्य प्रारंभ करें, "फर्मवेयर पर SVN अद्यतन लागू करें"
6. सत्यापित करें कि चरण 4 पूर्ण है