Que s'est-il passé ?

Le 19 juillet 2024 à 04:09 UTC, dans le cadre des opérations en cours, CrowdStrike a publié une mise à jour de la configuration des capteurs pour les systèmes Windows. Les mises à jour de la configuration des capteurs font partie intégrante des mécanismes de protection de la plateforme Falcon. Cette mise à jour de la configuration a déclenché une erreur logique entraînant un crash du système et un écran bleu (BSOD) sur les systèmes concernés.

La mise à jour de la configuration du capteur à l'origine du blocage du système a été corrigée le vendredi 19 juillet 2024 à 05:27 UTC.

Ce problème ne résulte pas d'une cyberattaque et n'y est pas lié.

Impact

Les clients utilisant le capteur Falcon pour Windows version 7.11 et supérieure, qui étaient en ligne entre le vendredi 19 juillet 2024 04:09 UTC et le vendredi 19 juillet 2024 05:27 UTC, peuvent être impactés.

Les systèmes utilisant Falcon sensor pour Windows 7.11 et supérieur qui ont téléchargé la configuration mise à jour entre 04:09 UTC et 05:27 UTC - étaient susceptibles de provoquer un crash du système.

Fichier de configuration

Les fichiers de configuration mentionnés ci-dessus sont appelés "fichiers de canaux" et font partie des mécanismes de protection comportementale utilisés par le capteur Falcon. Les mises à jour des Channel Files font partie du fonctionnement normal du capteur et ont lieu plusieurs fois par jour en réponse aux nouvelles tactiques, techniques et procédures découvertes par CrowdStrike. Il ne s'agit pas d'un nouveau processus ; l'architecture est en place depuis la création de Falcon.
Détails techniques

Sur les systèmes Windows, les fichiers Channel se trouvent dans le répertoire suivant :

C:\Windows\System32\Drivers\CrowdStrike\

et ont un nom de fichier qui commence par "C-". Un numéro est attribué à chaque fichier de canal en tant qu'identifiant unique. Le fichier de canal impacté dans cet événement est le 291 et son nom de fichier commence par "C-00000291-" et se termine par une extension .sys. Bien que les fichiers de canaux se terminent par l'extension SYS, il ne s'agit pas de pilotes de noyau.

Le fichier de canal 291 contrôle la façon dont Falcon évalue l'exécution de named pipe1 sur les systèmes Windows. Les tuyaux nommés sont utilisés pour la communication normale, interprocessus ou intersystème dans Windows.

La mise à jour qui a eu lieu à 04:09 UTC a été conçue pour cibler les tuyaux nommés malveillants récemment observés et utilisés par des structures C2 courantes dans les cyberattaques. La mise à jour de la configuration a déclenché une erreur logique qui a entraîné un plantage du système d'exploitation.

Fichier de canal 291

CrowdStrike a corrigé l'erreur logique en mettant à jour le contenu du Channel File 291. Aucune modification supplémentaire ne sera apportée au Channel File 291 au-delà de la mise à jour de la logique. Falcon continue d'évaluer et de se protéger contre l'utilisation abusive des tuyaux nommés.

Ce problème n'est pas lié aux octets nuls contenus dans le fichier de canal 291 ou dans tout autre fichier de canal.

Remédiation

Les recommandations et informations de remédiation les plus récentes peuvent être trouvées sur notre blog ou dans le portail de support.

Nous comprenons que certains clients peuvent avoir des besoins de support spécifiques et nous leur demandons de nous contacter directement.

Les systèmes qui ne sont pas actuellement touchés continueront à fonctionner comme prévu, à fournir une protection et ne risquent pas de subir cet événement à l'avenir.

Les systèmes fonctionnant sous Linux ou macOS n'utilisent pas le fichier de canal 291 et n'ont pas été touchés.

Analyse des causes profondes

Nous comprenons comment ce problème s'est produit et nous procédons à une analyse approfondie des causes profondes pour déterminer comment cette faille logique s'est produite. Cet effort se poursuivra. Nous nous engageons à identifier toutes les améliorations fondamentales ou de flux de travail que nous pouvons apporter pour renforcer notre processus. Nous mettrons à jour nos conclusions dans l'analyse des causes profondes au fur et à mesure de l'avancement de l'enquête.