24 heures ont passé. De nombreux services techniques et de sécurité ont annulé leurs vacances, et le monde entier tente de se remettre de ce qui est probablement la plus grande panne informatique de l'histoire. Nous avons aussi constaté de la confusion dans les rapports, certains accusant Microsoft, d'autres CrowdStrike, et d'autres encore frappant les deux entreprises. Voyons…
Que s'est-il passé ?
Le 19 juillet, les équipes de CrowdStrike, une entreprise de cybersécurité basée à Austin (capitale du Texas), ont publié une mise à jour pour leur plateforme Falcon. Le rôle de Falcon est d'installer et de maintenir des capteurs sur des terminaux « mission-critical » sous Microsoft Windows afin de « détecter et prévenir » les menaces.
D'accord, ça semble bien, mais...
.. la mise à jour contenait une erreur. La vague d'écrans bleus a commencé en Australie, puis « s'est déplacée vers l'ouest » à mesure que la journée avançait.
Qui a été touché ?
Banques, hôpitaux, aéroports, hôtels, transports terrestres, alimentation, des dizaines d'agences gouvernementales, chaînes de télévision, portails de e-commerce, et bien d'autres, y compris les employés en télétravail avec des ordinateurs portables fournis. Plus de 5 000 vols programmés ont dû être annulés. Les rendez-vous médicaux, consultations et de nombreuses opérations chirurgicales ont été interrompus. Même le 911 et l'organisation des Jeux olympiques ont été affectés.
Était-ce une cyberattaque ?
Non, et il faut insister là-dessus : c'était une erreur dans la mise à jour de Falcon distribuée par CrowdStrike.
Et Mac, Linux, Android, iOS ?
Immunes. L'erreur affecte les ordinateurs Windows utilisant CrowdStrike Falcon.
Très bien, comment réparer ?
C'est là que les choses se compliquent. Résoudre l'erreur sur un terminal isolé n'est pas si difficile, mais nous parlons d'organisations avec des milliers de systèmes. La première recommandation est, aussi surprenant que cela puisse paraître, de redémarrer la machine des dizaines de fois (détails plus bas). La seconde est plus technique et consiste à supprimer manuellement les fichiers de la mise à jour défectueuse, nommés C-00000291*.sys (attention à l'astérisque), dans le chemin « Windows\System32\Drivers\CrowdStrike ».
Redémarrer des dizaines de fois ? Est-ce une blague ?
En réalité, non. Les systèmes sont coincés dans une boucle de démarrage, mais en même temps il y a une sorte de « course » entre la pile réseau et la mise à jour défectueuse. Si lors d'un redémarrage la pile réseau gagne, CrowdStrike peut installer la bonne mise à jour et permettre au système d'échapper à la boucle. Si la mise à jour erronée gagne, BSOD.
Et si le terminal utilise BitLocker ?
Douleur et souffrance. Si les clés de récupération pour lire les disques affectés ne sont pas disponibles, le processus est essentiellement une attaque de ransomware auto-infligée.
Alternatives ?
Une autre recommandation de Microsoft et CrowdStrike est de restaurer une sauvegarde antérieure au 19 juillet à 04:09 UTC, moment où CrowdStrike a commencé à distribuer sa mise à jour erronée.
Certains disent que « c'était » Microsoft. Pourquoi ?
Parce que dans la nuit de jeudi, plusieurs services associés à Azure ont également subi une panne dans toute la région centrale des États-Unis. La panne s'est étendue du 18 juillet (21:56 UTC) au 19 juillet (12:15 UTC). « Dieu ne joue pas aux dés… »
Au final, à quel point était-ce grave ?
Troy Hunt de Have I Been Pwned? a dit que c'était « la plus grande panne informatique de l'histoire », et a ajouté que c'était essentiellement « ce qui nous inquiétait à propos de l'an 2000 » , à la différence que cela s'est produit maintenant.
Alors… cela se reproduira-t-il ?
Si nous continuons à faire des bêtises avec des mises à jour défectueuses en Ring 0, certainement.
Sources : CrowdStrike, Ars Technica, The Verge, TechRadar, Microsoft
