Vendredi dernier, une mise à jour de CrowdStrike a provoqué des erreurs « Blue Screen » sur les systèmes Windows à l’échelle mondiale, affectant l’écosystème de Microsoft.
Bien que moins de 1 % des machines Windows aient été touchées, soit environ 8,5 millions d’appareils, la perturbation a eu un impact significatif sur des services critiques.
La réponse de Microsoft
David Weston, vice-président de la sécurité d’entreprise et des systèmes d’exploitation chez Microsoft, a déclaré que l’entreprise a collaboré étroitement avec CrowdStrike, les clients et les développeurs externes pour rassembler des informations et accélérer les solutions. Microsoft a mis en place plusieurs mesures pour résoudre cette situation :
- Collaboration avec CrowdStrike : Développement d’une solution de contournement et diffusion d’instructions via le Windows Message Center.
- Déploiement de ressources : Des centaines d’ingénieurs ont été mobilisés pour travailler directement avec les clients afin de restaurer les services.
- Coordination avec d’autres fournisseurs de cloud : Microsoft a partagé des informations sur l’impact avec Google Cloud Platform (GCP) et Amazon Web Services (AWS) pour soutenir les discussions en cours.
- Documentation et scripts de réparation manuelle : Publication de guides et de scripts pour aider à la réparation des systèmes affectés.
- Mises à jour régulières : Informations continues via le tableau de bord Azure Status.
Microsoft a souligné ses efforts continus pour soutenir les utilisateurs affectés et a développé une solution évolutive en collaboration avec CrowdStrike pour accélérer les correctifs.
Outil de récupération de Microsoft
Microsoft a lancé un nouvel outil de récupération pour résoudre le problème causé par CrowdStrike sur les terminaux Windows. Cet outil, disponible sur le Centre de téléchargement de Microsoft, propose deux options de réparation :
- Récupération à partir de WinPE : Création de média de démarrage pour faciliter la réparation des appareils.
- Récupération en mode sans échec : Création de média de démarrage pour démarrer les appareils affectés en mode sans échec, permettant la connexion avec des privilèges administratifs et l’exécution des étapes de remédiation.
Cet outil crée une clé USB bootable pour une récupération rapide, évitant ainsi le besoin de mode sans échec ou de droits administratifs. Il accède directement au disque et supprime le fichier problématique de CrowdStrike. Si le disque est protégé par BitLocker, une clé de récupération est demandée.
Des étapes de récupération distinctes sont disponibles pour les machines virtuelles Windows sur Azure et pour tous les appareils Windows 10 et Windows 11 sur le site de support de Microsoft.
Directives de CrowdStrike
CrowdStrike a également fourni de nouvelles directives pour gérer la panne de Windows. La mise à jour du capteur Falcon, publiée entre 04:09 UTC et 5 h 27 UTC le 19 juillet 2024, a causé les plantages système. CrowdStrike a depuis annulé cette mise à jour problématique. Les détails clés incluent :
- Systèmes affectés : Capteur Falcon pour Windows version 7.11 et supérieur.
- Fichier de configuration problématique : « C-00000291*.sys » avec un horodatage de 4 h 9 UTC.
- Fichier annulé : « C-00000291*.sys » avec un horodatage de 5 h 27 UTC ou plus tard.
- Symptômes : Erreur d’écran bleu liée au capteur Falcon.
- Systèmes non affectés : Hôtes mis en ligne après 5 h 27 UTC le 19 juillet 2024 ou ceux installés après cette heure.
CrowdStrike a assuré à ses clients que leurs systèmes de la plateforme Falcon restent opérationnels et non affectés, y compris les services Falcon Complete et OverWatch. Des mises à jour continues sont disponibles sur le portail de support de CrowdStrike et les utilisateurs sont invités à contacter leurs représentants pour un support supplémentaire.
George Kurtz, PDG de CrowdStrike, a déclaré que le problème était dû à un défaut dans une mise à jour de contenu Falcon pour les hôtes Windows et n’était pas une cyberattaque. Ils travaillent étroitement avec les clients impactés pour restaurer les systèmes.
