Que s'est-il passé ?

Le 19 juillet 2024 à 04:09 UTC, dans le cadre des opérations en cours, CrowdStrike a publié une mise à jour de la configuration des capteurs pour les systèmes Windows. Les mises à jour de la configuration des capteurs font partie intégrante des mécanismes de protection de la plateforme Falcon. Cette mise à jour de la configuration a déclenché une erreur logique entraînant un crash du système et un écran bleu (BSOD) sur les systèmes concernés.

La mise à jour de la configuration du capteur à l'origine du blocage du système a été corrigée le vendredi 19 juillet 2024 à 05:27 UTC.

Ce problème ne résulte pas d'une cyberattaque et n'y est pas lié.

Impact

Les clients utilisant le capteur Falcon pour Windows version 7.11 et supérieure, qui étaient en ligne entre le vendredi 19 juillet 2024 04:09 UTC et le vendredi 19 juillet 2024 05:27 UTC, peuvent être impactés.

Les systèmes utilisant Falcon sensor pour Windows 7.11 et supérieur qui ont téléchargé la configuration mise à jour entre 04:09 UTC et 05:27 UTC - étaient susceptibles de provoquer un crash du système.

Fichier de configuration

Les fichiers de configuration mentionnés ci-dessus sont appelés "fichiers de canaux" et font partie des mécanismes de protection comportementale utilisés par le capteur Falcon. Les mises à jour des Channel Files font partie du fonctionnement normal du capteur et ont lieu plusieurs fois par jour en réponse aux nouvelles tactiques, techniques et procédures découvertes par CrowdStrike. Il ne s'agit pas d'un nouveau processus ; l'architecture est en place depuis la création de Falcon.
Détails techniques

Sur les systèmes Windows, les fichiers Channel se trouvent dans le répertoire suivant :

C:\Windows\System32\Drivers\CrowdStrike\

et ont un nom de fichier qui commence par "C-". Un numéro est attribué à chaque fichier de canal en tant qu'identifiant unique. Le fichier de canal impacté dans cet événement est le 291 et son nom de fichier commence par "C-00000291-" et se termine par une extension .sys. Bien que les fichiers de canaux se terminent par l'extension SYS, il ne s'agit pas de pilotes de noyau.

Le fichier de canal 291 contrôle la façon dont Falcon évalue l'exécution de named pipe1 sur les systèmes Windows. Les tuyaux nommés sont utilisés pour la communication normale, interprocessus ou intersystème dans Windows.

La mise à jour qui a eu lieu à 04:09 UTC a été conçue pour cibler les tuyaux nommés malveillants récemment observés et utilisés par des structures C2 courantes dans les cyberattaques. La mise à jour de la configuration a déclenché une erreur logique qui a entraîné un plantage du système d'exploitation.

Fichier de canal 291

CrowdStrike a corrigé l'erreur logique en mettant à jour le contenu du Channel File 291. Aucune modification supplémentaire ne sera apportée au Channel File 291 au-delà de la mise à jour de la logique. Falcon continue d'évaluer et de se protéger contre l'utilisation abusive des tuyaux nommés.

Ce problème n'est pas lié aux octets nuls contenus dans le fichier de canal 291 ou dans tout autre fichier de canal.

Remédiation

Les recommandations et informations de remédiation les plus récentes peuvent être trouvées sur notre blog ou dans le portail de support.

Nous comprenons que certains clients peuvent avoir des besoins de support spécifiques et nous leur demandons de nous contacter directement.

Les systèmes qui ne sont pas actuellement touchés continueront à fonctionner comme prévu, à fournir une protection et ne risquent pas de subir cet événement à l'avenir.

Les systèmes fonctionnant sous Linux ou macOS n'utilisent pas le fichier de canal 291 et n'ont pas été touchés.

Analyse des causes profondes

Nous comprenons comment ce problème s'est produit et nous procédons à une analyse approfondie des causes profondes pour déterminer comment cette faille logique s'est produite. Cet effort se poursuivra. Nous nous engageons à identifier toutes les améliorations fondamentales ou de flux de travail que nous pouvons apporter pour renforcer notre processus. Nous mettrons à jour nos conclusions dans l'analyse des causes profondes au fur et à mesure de l'avancement de l'enquête.

Aider nos clients pendant la panne de CrowdStrike

Jul 20, 2024 | David Weston - Vice-président, Sécurité des entreprises et des systèmes d'exploitation

Le 18 juillet, CrowdStrike, une société de cybersécurité indépendante, a publié une mise à jour logicielle qui a commencé à avoir un impact sur les systèmes informatiques à l'échelle mondiale. Bien qu'il ne s'agisse pas d'un incident Microsoft, étant donné qu'il a un impact sur notre écosystème, nous souhaitons faire le point sur les mesures que nous avons prises avec CrowdStrike et d'autres pour remédier à la situation et soutenir nos clients.

Depuis le début de cet événement, nous avons maintenu une communication continue avec nos clients, CrowdStrike et les développeurs externes afin de collecter des informations et d'accélérer les solutions. Nous sommes conscients des perturbations que ce problème a entraînées pour les entreprises et dans la vie quotidienne de nombreuses personnes. Notre objectif est de fournir à nos clients des conseils techniques et une assistance pour rétablir en toute sécurité les systèmes perturbés. Les mesures prises sont les suivantes :

• Engagement avec CrowdStrike pour automatiser leur travail de développement d'une solution. CrowdStrike a recommandé une solution de contournement pour résoudre ce problème et a également publié une déclaration publique. Des instructions pour remédier à la situation sur les terminaux Windows ont été publiées sur le Windows Message Center.
• Déploiement de centaines d'ingénieurs et d'experts Microsoft pour travailler directement avec les clients afin de rétablir les services.
• Collaboration avec d'autres fournisseurs de cloud et parties prenantes, y compris Google Cloud Platform (GCP) et Amazon Web Services (AWS), pour partager la connaissance de l'état de l'impact que nous observons dans l'industrie et informer les conversations en cours avec CrowdStrike et les clients.
• Mise en ligne rapide de la documentation et des scripts de remédiation manuelle trouvés ici.
• Tenir les clients informés de l'état actuel de l'incident par le biais du tableau de bord de l'état d'Azure ici.

Nous travaillons 24 heures sur 24 et fournissons des mises à jour et un support continus. En outre, CrowdStrike nous a aidés à développer une solution évolutive qui aidera l'infrastructure Azure de Microsoft à accélérer la correction de la mise à jour défectueuse de CrowdStrike. Nous avons également travaillé avec AWS et GCP pour collaborer sur les approches les plus efficaces.

Si les mises à jour de logiciels peuvent occasionnellement provoquer des perturbations, les incidents importants tels que l'événement CrowdStrike sont peu fréquents. Nous estimons actuellement que la mise à jour de CrowdStrike a affecté 8,5 millions d'appareils Windows, soit moins d'un pour cent de toutes les machines Windows. Bien que le pourcentage soit faible, les impacts économiques et sociétaux importants reflètent l'utilisation de CrowdStrike par des entreprises qui gèrent de nombreux services critiques.

Cet incident démontre la nature interconnectée de notre vaste écosystème - fournisseurs mondiaux de services en nuage, plateformes logicielles, fournisseurs de sécurité et autres fournisseurs de logiciels, et clients. Il nous rappelle également à quel point il est important pour nous tous, dans l'écosystème technologique, d'accorder la priorité à un déploiement sûr et à une reprise après sinistre en utilisant les mécanismes existants. Comme nous l'avons vu ces deux derniers jours, c'est en collaborant et en travaillant ensemble que nous apprenons, que nous récupérons et que nous avançons le plus efficacement. Nous apprécions la coopération et la collaboration de l'ensemble de notre secteur, et nous continuerons à vous informer des enseignements tirés et des prochaines étapes.

Donella H. Meadows, Jorgen Randers, Dennis L. Meadows

fine('FS_METHOD', 'direct');