24 Stunden sind vergangen. Viele technische und sicherheitsbezogene Abteilungen haben ihren Urlaub abgesagt, und die ganze Welt versucht, sich von dem zu erholen, was wahrscheinlich der größte IT-Blackout der Geschichte war. Wir haben auch Verwirrung in den Berichten festgestellt, einige beschuldigen Microsoft, andere CrowdStrike, und andere teilen gegen beide Unternehmen aus. Lassen Sie uns sehen ...
Was ist passiert?
Am 19. Juli hat das Cybersicherheitsunternehmen CrowdStrike aus Austin (Hauptstadt von Texas) ein Update für seine Plattform Falcon veröffentlicht. Die Rolle von Falcon besteht darin, Sensoren auf „mission-critical“-Endgeräten mit Microsoft Windows zu installieren und zu warten, um Bedrohungen zu „erkennen und zu verhindern“.
Okay, das klingt gut, aber ...
... das Update hatte einen Fehler. Die Welle der Bluescreens begann in Australien und „bewegte sich nach Westen“, während der Tag fortschritt.
Wer war betroffen?
Banken, Krankenhäuser, Flughäfen, Hotels, Bodenverkehr, Lebensmittel, Dutzende von Regierungsbehörden, Fernsehsender, E-Commerce-Portale und viele mehr, einschließlich Angestellter im Homeoffice mit zugewiesenen Laptops. Mehr als 5.000 geplante Flüge mussten gestrichen werden. Arztbesuche, Beratungen und viele Operationen wurden pausiert. Sogar der Notruf 911 und die Organisation der Olympischen Spiele waren betroffen.
War es ein Cyberangriff?
Nein, und das muss betont werden: Es war ein Fehler in dem Update für Falcon, das CrowdStrike verteilt hat.
Mac und Linux? Android? iOS?
Immun. Der Fehler betrifft Computer mit Windows, auf denen CrowdStrike Falcon läuft.
Gut, wie repariert man das?
Hier wird es kompliziert. Einen Fehler auf einem einzelnen Gerät zu beheben, ist nicht schwer, aber wir sprechen von Organisationen mit Tausenden von Systemen. Die erste Empfehlung ist, so unglaublich es klingt, das Gerät dutzende Male neu zu starten (Details unten). Die zweite ist technischer und zielt darauf ab, die Dateien des fehlerhaften Updates manuell zu löschen, mit dem Namen C-00000291*.sys (achten Sie auf das Sternchen), im Pfad „Windows\System32\Drivers\CrowdStrike“.
Dutzende Male neu starten? Ist das ein Witz?
Eigentlich nicht. Die Systeme stecken in einer Bootloop fest, aber gleichzeitig gibt es eine Art „Rennen“ zwischen dem Netzwerk-Stack und dem fehlerhaften Update. Wenn der Netzwerk-Stack bei einem der Neustarts gewinnt, kann CrowdStrike das richtige Update installieren und das System aus der Schleife befreien. Gewinnt das fehlerhafte Update, BSOD.
Was, wenn das Gerät BitLocker verwendet?
Schmerz und Leid. Wenn die Wiederherstellungsschlüssel zum Lesen der betroffenen Laufwerke nicht verfügbar sind, ist der Prozess im Wesentlichen ein selbst zugefügter Ransomware-Angriff.
Alternativen?
Eine weitere Empfehlung von Microsoft und CrowdStrike ist, ein Backup vor dem 19. Juli, 04:09 UTC, wiederherzustellen, dem Zeitpunkt, an dem CrowdStrike die Verteilung seines fehlerhaften Updates begann.
Manche sagen, es war Microsoft. Warum?
Weil in der Nacht zum Donnerstag mehrere mit Azure verbundene Dienste ebenfalls einen Ausfall erlitten in der gesamten zentralen Region der USA. Der Fehler dauerte vom 18. Juli (21:56 UTC) bis zum 19. Juli (12:15 UTC). „Gott würfelt nicht…“
Wie groß war es letztendlich?
Troy Hunt von Have I Been Pwned? sagte, es sei „der größte IT-Ausfall der Geschichte“ gewesen, und fügte hinzu, dass dies im Grunde „das war, was uns am Y2K Sorgen machte“, mit dem Unterschied, dass es jetzt passiert ist.
Also... wird es wieder passieren?
Wenn wir weiterhin dumme Dinge mit fehlerhaften Updates auf Ring 0 machen, definitiv.
Quellen: CrowdStrike, Ars Technica, The Verge, TechRadar, Microsoft
