Orchestrator de Secure Boot (CVE-2023-24932)

Automatiza a mitigação completa do Secure Boot para CVE-2023-24932 (BlackLotus). Lida com todas as alterações no registro, reinicializações e verificação automaticamente.

Requisitos

Windows 10/11 ou Server 2016+
Privilégios de administrador
Secure Boot ativado
Atualização cumulativa >= julho de 2024 instalada
Chaves de recuperação do BitLocker com backup (se o BitLocker estiver ativo)

Início Rápido (Servidor Único)

# 1. Baixar e instalar (uma linha, execute no PowerShell como Admin)
irm https://raw.githubusercontent.com/helleflo1312/Orchestrated-Powershell-for-CVE-2023-24932/main/INSTALL.ps1 | iex

# Ou baixe manualmente primeiro:
# Invoke-WebRequest -Uri "https://raw.githubusercontent.com/helleflo1312/Orchestrated-Powershell-for-CVE-2023-24932/main/INSTALL.ps1" -OutFile INSTALL.ps1
# .\INSTALL.ps1

# 2. Execute o orquestrador (da pasta Desktop\UEFIOrchestrator)
powershell.exe -ExecutionPolicy Bypass -File .\UEFI-Orchestrator.ps1 -RunUnattended -WaitBeforeReboot 60

O script cria uma tarefa agendada, gerencia aproximadamente 8 reinicializações e termina na Etapa 999.

Verificar progresso

Get-ItemPropertyValue -Path 'HKLM:\SOFTWARE\UEFIOrchestrator' -Name 'OrchestratorStep'
# 0-8 = em execução, 999 = concluído

Implantação Remota (Múltiplos Servidores)

# 1. Importar o módulo
Import-Module .\UEFIOrchestrator.psm1

# 2. Conectar
$cred = Get-Credential
$sessions = New-PSSession -ComputerName SRV-DC01, SRV-APP01 -Credential $cred

# 3. Instalar (sem reinicialização ainda)
Install-UEFIOrchestrator -Session $sessions -WaitBeforeReboot 60

# 4. Iniciar (as reinicializações começam!)
Start-UEFIOrchestrator -Session $sessions

# 5. Verificar status (reconectar após reinicializações)
$sessions = New-PSSession -ComputerName SRV-DC01, SRV-APP01 -Credential $cred
Get-UEFIOrchestratorStatus -Session $sessions | Format-Table -AutoSize

Monitoramento ao Vivo

Acompanhe o processo de aplicação de patch em tempo real de outra máquina:

.\Watch-UEFIOrchestrator.ps1 -ComputerName SRV-DC01, SRV-APP01 -Credential (Get-Credential)

Mostra status online/offline, etapa atual, contador de reinicializações e saída de log. Pressione Ctrl+C para parar.

Avisos

A etapa 5 é irreversível — após a atualização DBX, gerenciadores de inicialização antigos são permanentemente bloqueados
Atualize a mídia de recuperação primeiro — mídia anterior a 2024 não inicializará após a aplicação do patch
BitLocker — sistemas podem entrar no modo de recuperação após as reinicializações, tenha as chaves prontas
Teste primeiro — sempre execute em um ambiente de teste antes de implementar em produção

Limpeza (após a Etapa 999)

Unregister-ScheduledTask -TaskName 'SecureBootUpdateOrchestrator' -Confirm:$false
Remove-Item "C:\Windows\Temp\UEFIOrchestrator" -Recurse -Force
Remove-Item "HKLM:\SOFTWARE\UEFIOrchestrator" -Recurse -Force

Referências

Guia da Microsoft para CVE-2023-24932 (KB5025885)

Licença

MIT

Orchestrated-Powershell-for-CVE-2023-24932

Mais Populares