BlackLotus

BlackLotus, 일명 CVE-2023-24932, Intune, ConfigMgr 및 일반 임시 사용을 위한 수정 스크립트입니다.

블로그 게시물: https://ajf.one/blacklotus

일반 참고 사항

• 이 수정 스크립트는 재부팅을 시작하지 않습니다. 이 스크립트는 "시간이 지남에 따라" 실행되도록 설계되었으며, 장치는 월별 업데이트, 사용자 시작 또는 기타 이유로 인한 "자연스러운" 재부팅 과정에서 규정을 준수하는 것으로 보고됩니다.
• 수정 스크립트의 전체 내용은 Intune 수정 및 ConfigMgr CI 사용을 위한 검색 스크립트 내에 배치되어야 합니다. 이는 이러한 스크립트가 "선택형 어드벤처" 스토리처럼 작동하며, 여러 종료 지점이 있고 각각 자체 출력을 반환하기 때문입니다.
• 각 스크립트의 시작 부분에는 이미 규정을 준수하는 장치에 대해 변경을 방지하거나 과도한 로깅을 수행하지 않도록 하는 "검색" 스크립트와 동등한 기능이 있습니다.
• 문제가 발생하거나 피드백이 있으면 여기에 이슈를 열거나 Discord의 WinAdmins (@krbtgt)에서 핑을 보내주시기 바랍니다. 매우 감사하겠습니다!

1단계: 업데이트된 인증서 정의를 DB에 설치하고 장치의 부트 관리자 업데이트

프로세스 순서도:

Phase 1 스크립트는 Microsoft 게시 지침의 1단계와 2단계를 다음과 같이 수행합니다:

1. AvailableUpdates 레지스트리 값을 0x40으로 설정
2. \Microsoft\Windows\PI\Secure-Boot-Update 예약 작업을 시작하여 1단계 "업데이트된 인증서 정의를 DB에 설치" 수행
3. 1단계 완료 확인
4. AvailableUpdates 레지스트리 값을 0x100으로 설정
5. \Microsoft\Windows\PI\Secure-Boot-Update 예약 작업을 시작하여 2단계 "장치의 부트 관리자 업데이트" 수행
6. 2단계 완료 확인

각 단계 사이에 유효성 검사가 수행되며, $env:TEMP\BlackLotusPhase1Remediation.log에 기록되고 (스크립트를 수정으로 실행하는 경우) Intune에도 반환됩니다.

2단계: 해지 활성화 및 펌웨어에 SVN 업데이트 적용

프로세스 순서도:

Phase 2 스크립트는 Microsoft 게시 지침의 3단계와 4단계를 다음과 같이 수행합니다:

1. AvailableUpdates 레지스트리 값을 0x80으로 설정
2. \Microsoft\Windows\PI\Secure-Boot-Update 예약 작업을 시작하여 3단계 "해지 활성화" 수행
3. 3단계 완료 확인
4. AvailableUpdates 레지스트리 값을 0x200으로 설정
5. \Microsoft\Windows\PI\Secure-Boot-Update 예약 작업을 시작하여 4단계 "펌웨어에 SVN 업데이트 적용" 수행
6. 4단계 완료 확인