BlackLotus-Patch: Microsoft kündigt wichtige Bereitstellungsphase an

Microsoft hatte bereits im Mai vergangenen Jahres damit begonnen, wichtige Sicherheits-Updates für Windows bereitzustellen, die eine UEFI-Schwachstelle schließen und anfällige Bootmanager einer Sicherheitshärtung vollziehen. Es geht um die "BlackLotus"-Schwachstelle.

Nadine Dressler, 11.07.2024 20:23 Uhr

Sicherheit, Internet, Sicherheitslücke, Hacker, Security, Angriff, Hack, Kriminalität, Trojaner, Virus, Schadsoftware, Cybersecurity, Exploit, Cybercrime, Hacking, Hackerangriff, Internetkriminalität, System, Hacker Angriff, Hacker Angriffe, Hacken, Attack, Hacks, Crime, Gehackt, Schädling, Hacked, System Hacked

Secure Boot umgangen

Anfang 2023 machte die Meldung die Runde, dass ein erstes UEFI-Bootkit aufgetaucht ist, das die Windows-Secure-Boot-Funktion überwinden kann und so zu einer Gefahr für Anwender weltweit wird. Microsoft schloss einige Bootmanager aus, veröffentlichte daraufhin verschiedene neue Absicherungen, die Secure Boot "härten" sollten - und jetzt startet wie geplant die nächste Phase.

Microsoft hat nun die Bereitstellungsphase der Abminderung der BlackLotus UEFI Secure-Boot-Schwachstelle angekündigt, die als CVE-2023-24932 bekannt ist.

Das vorherige Update für BlackLotus-Patches wurde im April 2024 veröffentlicht, was als Bewertungsphase definiert wurde. Nun startet mit dem Patch-Day die Schließung der Lücke für weitere Nutzer. Das Problem dabei: Mit dem Update des Bootmanagers allein ist es nicht getan, und es betrifft auch Nutzer der Home- oder Pro-Versionen, nicht nur Windows Server und Unternehmens-Varianten.

Microsoft schreibt dazu in einem umfangreichen Support-Dokument:

"Abhilfemaßnahmen gegen die in CVE-2023-24932 beschriebene Umgehung von Secure Boot sind in den Windows-Sicherheitsupdates enthalten, die am oder nach dem 9. Juli 2024 veröffentlicht wurden. Diese Abhilfemaßnahmen sind jedoch nicht standardmäßig aktiviert. Wir empfehlen, dass Sie mit diesen Updates beginnen, diese Änderungen in Ihrer Umgebung zu evaluieren. Der vollständige Zeitplan ist im Abschnitt Zeitplan der Updates beschrieben."

Dort findet man den Hinweis, dass am 9. Juli die Bereitstellungsphase begonnen hat. Weiter heißt es: "In dieser Phase ermutigen wir unsere Kunden, mit der Implementierung der Abhilfemaßnahmen und der Verwaltung der Medienaktualisierungen zu beginnen." In wenigen Wochen startet dann voraussichtlich die letzte Erzwingungsphase, durch die die Risikominderungen dauerhaft werden. Diese Phase beginnt frühestens am 8. Oktober 2024.

Aktualisierungen umfassen folgende Änderungen:

Hinzufügen von Unterstützung für Secure Version Number (SVN) und Festlegen der aktualisierten SVN in der Firmware.
Im Folgenden finden Sie eine Übersicht über die Schritte zur Bereitstellung in einem Unternehmen.
Hinweis: Weitere Anleitungen werden in späteren Aktualisierungen dieses Artikels veröffentlicht.
Stellen Sie die erste Mitigation auf allen Geräten im Unternehmen oder einer verwalteten Gruppe von Geräten im Unternehmen bereit. Dies umfasst:
Entscheidung für die erste Abschwächung, die der Gerätefirmware das Signierungszertifikat "Windows UEFI CA 2023" hinzufügt.
Überwachung, dass die Geräte das "Windows UEFI CA 2023"-Signaturzertifikat erfolgreich hinzugefügt haben.
Bereitstellen der zweiten Abschwächung, die den aktualisierten Bootmanager auf das Gerät anwendet.
Aktualisieren Sie alle Wiederherstellungs- oder externen bootfähigen Medien, die mit diesen Geräten verwendet werden.
Setzen Sie die dritte Abschwächung ein, die den Widerruf des "Windows Production CA 2011"-Zertifikats ermöglicht, indem Sie es der DBX in der Firmware hinzufügen.
Setzen Sie die vierte Abschwächung ein, die die sichere Versionsnummer (SVN) in der Firmware aktualisiert.

Was ist BlackLotus und was ist ein Bootkit?

Ein Bootkit ist im Grunde ein bösartiger Windows-Bootmanager. Er klinkt sich ganz am Start des Windows-Systems ein und sperrt Gegenmaßnahmen. BlackLotus ist die Sicherheitslücke, die den Zugriff auf den Bootmanager ermöglicht.

Wie erkennt man den UEFI-Bootkit-Hack?

Hinweise auf BlackLotus-UEFI-Bootkit-Infektion sind:

Kürzlich erstellte und gesperrte Bootloader-Dateien
Vorhandensein eines Staging-Verzeichnisses, das während der BlackLotus-Installation im Dateisystem EPS:/ verwendet wird
Änderung des Registrierungsschlüssels für die Hypervisor-geschützte Code-Integrität (HVCI)
Netzwerk-Protokolle
Boot-Konfigurationsprotokolle
Artefakte der Boot-Partition

Da BlackLotus bösartige Bootloader-Dateien in die EFI-Systempartition, auch ESP genannt, schreiben muss, werden diese Dateien gesperrt, um ihr Löschen oder ihre Änderung zu verhindern. Kürzlich geänderte und gesperrte Dateien im ESP-Speicherort, insbesondere wenn sie mit bekannten BlackLotus-Bootloader-Dateinamen übereinstimmen, "sollten als höchst verdächtig betrachtet werden", so Microsoft. Es gibt dazu im Windows Security-Blog eine ausführliche Anleitung mit vielen Tipps.

FAQ zu Windows 11 Anleitungen, Tipps und Tricks

Zusammenfassung

Microsoft startet Phase zur Behebung der BlackLotus-Schwachstelle
UEFI-Sicherheitsupdates seit Mai letztes Jahr verfügbar
Erstes UEFI-Bootkit überwindet Windows-Secure-Boot
Neue Sicherheitsmaßnahmen für Bootmanager eingeführt
Patch-Day bringt Schließung der Lücke für weitere Nutzer
Support-Dokument empfiehlt Evaluierung der neuesten Updates
Endgültige Erzwingungsphase beginnt frühestens am 8. Oktober 2024

Siehe auch:

Thema:

Windows 11

Kommentieren4

Hinweis einsenden

Weitere Nachrichten zum Thema Secure-Boot: Microsoft terminiert vierte Stufe der SicherheitsänderungWindows 10/11: Fehlerhaftes Secure Boot-Update erneut veröffentlichtErstes UEFI-Bootkit überwindet Secure Boot und ist frei unterwegsNach Windows-Patch-Day: Secure Boot-Problem weitet sich aus