Orchestratore Secure Boot (CVE-2023-24932)

Automatizza l'intera mitigazione Secure Boot per CVE-2023-24932 (BlackLotus). Gestisce tutte le modifiche al registro, riavvii e verifica automaticamente.

Requisiti

• Windows 10/11 o Server 2016+
• Privilegi di amministratore
• Secure Boot abilitato
• Aggiornamento cumulativo >= luglio 2024 installato
• Chiavi di ripristino BitLocker salvate (se BitLocker è attivo)

Avvio rapido (Server singolo)

# 1. Download & Install (one-liner, run in PowerShell as Admin)
irm https://raw.githubusercontent.com/helleflo1312/Orchestrated-Powershell-for-CVE-2023-24932/main/INSTALL.ps1 | iex

# Or download manually first:
# Invoke-WebRequest -Uri "https://raw.githubusercontent.com/helleflo1312/Orchestrated-Powershell-for-CVE-2023-24932/main/INSTALL.ps1" -OutFile INSTALL.ps1
# .\INSTALL.ps1

# 2. Run the orchestrator (from Desktop\UEFIOrchestrator)
powershell.exe -ExecutionPolicy Bypass -File .\UEFI-Orchestrator.ps1 -RunUnattended -WaitBeforeReboot 60

Lo script crea un'Attività pianificata, gestisce circa 8 riavvii e termina al Passo 999.

Controlla l'avanzamento

Get-ItemPropertyValue -Path 'HKLM:\SOFTWARE\UEFIOrchestrator' -Name 'OrchestratorStep'
# 0-8 = running, 999 = done

Distribuzione remota (Più server)

# 1. Import the module
Import-Module .\UEFIOrchestrator.psm1

# 2. Connect
$cred = Get-Credential
$sessions = New-PSSession -ComputerName SRV-DC01, SRV-APP01 -Credential $cred

# 3. Install (no reboot yet)
Install-UEFIOrchestrator -Session $sessions -WaitBeforeReboot 60

# 4. Start (reboots begin!)
Start-UEFIOrchestrator -Session $sessions

# 5. Check status (reconnect after reboots)
$sessions = New-PSSession -ComputerName SRV-DC01, SRV-APP01 -Credential $cred
Get-UEFIOrchestratorStatus -Session $sessions | Format-Table -AutoSize

Monitoraggio in tempo reale

Guarda il processo di patch in tempo reale da un'altra macchina:

.\Watch-UEFIOrchestrator.ps1 -ComputerName SRV-DC01, SRV-APP01 -Credential (Get-Credential)

Mostra lo stato online/offline, il passo corrente, il contatore dei riavvii e l'output del log. Premi Ctrl+C per fermare.

Avvertenze

• Il Passo 5 è irreversibile - dopo l'aggiornamento DBX, i vecchi boot manager vengono bloccati permanentemente
• Aggiorna prima i supporti di ripristino - i supporti precedenti al 2024 non si avvieranno dopo l'applicazione della patch
• BitLocker - i sistemi potrebbero entrare in modalità ripristino dopo i riavvii, tieni pronte le chiavi
• Test prima - esegui sempre in un ambiente di test prima del rilascio in produzione

Pulizia (dopo il Passo 999)

Unregister-ScheduledTask -TaskName 'SecureBootUpdateOrchestrator' -Confirm:$false
Remove-Item "C:\Windows\Temp\UEFIOrchestrator" -Recurse -Force
Remove-Item "HKLM:\SOFTWARE\UEFIOrchestrator" -Recurse -Force

Riferimenti

• Microsoft CVE-2023-24932 Guidance (KB5025885)

Licenza

MIT