CrowdStrike microsoft trouble

[admin]

Во всей инфраструктуре Microsoft произошел «глобальный сбой»

Не работают абсолютно все продукты Microsoft, что приводит к серьезным сбоям в работе банков, коммунальных предприятий, авиакомпаний, средств массовой информации, телекоммуникаций, сотовой связи, Интернета и многое другое.

— United Airlines и Delta Airlines приостановили полеты из-за проблем со связью, возникших в результате продолжающегося глобального сбоя — Федеральное управление гражданской авиации США;

— Индийский новостной канал Times Now сообщает, что причиной глобального сбоя является «недавнее обновление CrowdStrike»;

— Turkish Airlines также приостановила полеты из-за «большого глобального сбоя»;

— Во всех аэропортах Испании произошел «инцидент с компьютерными системами» после сбоя CrowdStrike;

— Британский телеканал SkyNews был отключен от сети из-за глобального сбоя;

— Несколько аэропортов Великобритании также были вынуждены приостановить полеты.

Недавний глобальный сбой, затронувший несколько миллионов Windows-компьютеров по всему миру по вине Crowdstrike, вероятно, является не первым эпизодом в истории ИБ-вендора, ставящим под сомнение качество оказываемых им услуг. По некоторым сведениям, похожий, но менее резонансный инцидент весной 2024 г. затронул инфраструктуру клиентов компании под управлением Linux.



Повторение собственных ошибок

Американский поставщик ПО для обеспечения кибербезопасности Crowdstrike уже не в первый раз выпускает обновление своего продукта Falcon Sensor, приводящее к выходу из строя инфраструктуры клиентов, пишет TechSpot.

Напомним, что 19 июля 2024 г. произошел глобальный сбой информационных систем в самых разных отраслях –из-за него, в частности, некоторые крупные американские и европейские авиаперевозчики были вынуждены полностью или частично «приземлить» принадлежащие им воздушные флоты. Как оказалось, проблема скрывалась в обновленной версии приложения Falcon Sensor ИБ-компании Crowdstrike, которая вызывала «синий экран смерти» (BSoD) Microsoft Windows.



Инцидент Debian-машинами

Как рассказал пользователь портала Hacker News под псевдонимом JackC, серьезные происшествия, спровоцированные распространением заранее не протестированных апдейтов ПО Crowdstrike, случались и раньше. Более того, он лично оказался вовлечен в устранение последствий инцидента такого рода.

Пользователь не уточнил название организации, в которой он работает, лишь пояснив, что это техническая лаборатория, относящаяся к гражданскому сектору экономики и управляемая крупной компанией. Именно по инициативе руководства последней функцию по защите «разношерстной» инфраструктуры организации, работающей под управлением одного из наиболее популярных дистрибутивов Linux – Debian, было решено возложить на софт Crowdstrike.

19 апреля 2024 г. Crowdstrike выпустила обновление Falcon Sensor, которое оказалось несовместимым с актуальной версией Debian Linux стабильной ветки, используемой в организации JackC, поэтому ее специалистам пришлось «пропатчить» ОС, как они это делали в подобных ситуациях множество раз. Процедуры применения патча и обновления ПО CrowdStrike на первый взгляд прошли совершенно гладко и в работе системы каких-либо аномалий не наблюдалось. Однако спустя неделю совершенно неожиданно для администраторов весь парк Linux-машин организации одномоментно «упал», причем попытки заставить засбоившие компьютеры работать при помощи перезагрузки оказались тщетными.

Разбираясь в причинах сбоя, специалисты компании подключили один из системных дисков пострадавшей Linux-машины к другому компьютеру и изучили логи (журналы системных операций). Анализ логов показал, что предполагаемым виновником является ПО Crowdstrike. В результате было принято решение удалить его с одного из затронутых сбоем серверов, чтобы проверить данную гипотезу. Удаление действительно помогло – компьютер без проблемного софта сразу же успешно загрузился. Повторная установка софта Crowstrike в дальнейшем вновь приводила к отказу.



Взаимодействие со службой поддержки Crowdstrike

Лишь удостоверившись в том, что источником проблемы на самом деле является ПО Crowdstrike, специалисты компании обратились в службу поддержки ИБ-вендора через интернет. Ответ был получен спустя сутки – в нем предлагалось предоставить дополнительные доказательства того, что сбой в организации вызван некорректной работой Falcon Sensor по вине вендора. Как отмечает JackC, на следующий день служба поддержки признала факт наличия ошибки в продукте. По прошествии недели вендор сообщил о том, что работа очередной версии Falcon Sensor не была протестирована на совместимость с конфигурацией ПО, под управлением которого функционировала инфраструктура клиента.

По итогам разбирательства JackC с коллегами пришли к выводу о том, что предотвратить возникновение подобных инцидентов в будущем не представляется возможным из-за порочного подхода к доставке обновлений, выбранного Crowdstrike, который он описал следующей фразой: «Ставим софт на ваши машины когда хотим, вне зависимости от степени срочности, не тестируя его».

Примечательно, что, как и в случае с недавним глобальным сбоем, релиз «проблемного» апдейта продукта Crowdstrike состоялся накануне выходных – в пятницу 19 апреля 2024 г.



Ошибки совместимости с RHEL и производными

К рассказу JackC, не уточняющего свое место работы, можно и нужно относиться с определенной долей скепсиса – все-таки о деталях происшествия известно исключительно с его слов. Однако существуют и другие факты, указывающие на то, что обновление ПО CrowdStrike на Linux-машинах, выпущенное весной 2024 г., могло вызывать серьезные сбои.

Так, в базе знаний портала Red Hat упоминается возможность возникновения критической ошибки ОС (kernel panic) Red Hat Enterprise Linux (RHEL) версии 9.4 при загрузке ядра 5.14.0-427.13.1.el9_4.x86_64, вызванной процессом falcon-sensor. На аналогичные проблемы также жаловались пользователи Rocky Linux 9.4 (один из множества форков RHEL) на официальном форуме проекта в середине мая 2024 г.



Злоумышленники не дремлют

Агентство по кибербезопасности и защите инфраструктуры США (CISA) 19 июля 2024 г. призвало организации, пострадавшие в результате инцидента с ПО Crowdstrike, проявлять особую бдительность. По данным ведомства, на фоне возникшего хаоса активизировались киберпреступники, рассылающие от лица специалистов Crowdstrike фишинговые электронные письма, в которых предлагается «починить» вышедшие из строя системы за определенную сумму в криптовалюте.

Тем временем Crowdstrike выпустила исправление для Falcon Agent, а корпорация Microsoft 20 июля 2024 г. предложила бесплатный инструмент, который позволяет «починить» выведенные из строя в результате инцидента Windows-машины, загрузившись с USB-накопителя.

 

[admin]

Хакеры начали использовать хаос из-за CrowdStrike для распространения вредоноса Crowdstrike-hotfix.zip.
После масштабного сбоя в работе организаций по всему миру 18 июля из-за проблемного обновления Falcon Sensor для Windows от компании кибербезопасности CrowdStrike киберпреступники пытаются воспользоваться ситуацией. Они распространяют вредоносный ZIP-архив с именем Crowdstrike-hotfix.zip (хеш SHA256: c44506fe6e1ede5a104008755abf5b6ace51f1a84ad656a2dccc7f2c39c0eca2).

Для просмотра ссылки Войди или Зарегистрируйся​

Архив содержит полезную нагрузку HijackLoader, загружающую RemCo. В CrowdStrike считают, что имена файлов и инструкции в ZIP-архиве на испанском указывают на нацеленность кампании на клиентов CrowdStrike из Латинской Америки (LATAM).

Киберпреступники также проводят фишинговые кампании против клиентов CrowdStrike. Они рассылают электронные письма, выдавая себя за службу техподдержки, называют себя сотрудниками компании во время телефонных звонков, а также выдают себя за независимых исследователей, чтобы предложить информацию по устранению сбоев. Наконец, хакеры продают сценарии для автоматизации восстановления систем.

За считанные дни для проведения фишинговых кампаний были созданы следующие домены:

Crowdstrike.phpartners[.]org, Crowdstrike0day[.]com, Crowdstrikebluescreen[.]com, Crowdstrike-bsod[.]com, Crowdstrikeupdate[.]com, Crowdstrikebsod[.]com, Для просмотра ссылки Войди или Зарегистрируйся[.]com, Для просмотра ссылки Войди или Зарегистрируйся[. ]com, crowdstrikeoutage[.]info, Для просмотра ссылки Войди или Зарегистрируйся[.]com, crowdstrikeodayl[.]com, crowdstrike[.]buzz, Для просмотра ссылки Войди или Зарегистрируйся[.]com, Для просмотра ссылки Войди или Зарегистрируйся[.]com, fix-crowdstrike-apocalypse[.]com, microsoftcrowdstrike[. ]com, Crowdstrikedoomsday[.]com, Crowdstrikedown[.]com, Whatiscrowdstrike[.]com, Crowdstrike-HelpDesk[.]com, Crowdstrikefix[.]com, Fix-Crowdstrike-BSOD[.]com, Crowdstrikedown[.]site, Crowdstuck[.]org, Crowdfalcon- immed-update[.]com, Crowdstriketoken[.]com, Crowdstrikeclaim[.]com, Crowdstrikeblueteam[.]com, Crowdstrikefix[.]zip, Crowdstrikereport[.]com.

Компания кибербезопасности AnyRun также сообщила, что злоумышленники распространяют очиститель данных под предлогом доставки обновления от CrowdStrike: «Он уничтожает систему, перезаписывая файлы с нулевыми байтами, а затем сообщает об этом через Telegram».

Ответственность за эту кампанию взяла на себя проиранская хактивистская группа Handala. Злоумышленники выдавали себя за CrowdStrike, отправляя электронные письма с домена «crowdstrike.com.vc» и сообщая клиентам, что появился инструмент для возобновления работы систем Windows. Письма содержали PDF-файл с инструкциями по запуску поддельного обновления, а также ссылку для загрузки вредоносного ZIP-архива с файлового хостинга. Этот zip-файл включает исполняемый файл с именем Crowdstrike.exe. После выполнения скрипта программа очистки данных извлекается в папку %Temp% и запускается для уничтожения информации на устройстве.

Для просмотра ссылки Войди или Зарегистрируйся​

CrowdStrike советует своим клиентам связываться с представителями компании только по официальным каналам и придерживаться технических рекомендаций, предоставленных ею и Microsoft. Последняя также недавно обновила своё руководство, предложив автоматизированный метод восстановления работы систем с помощью загрузочного USB-накопителя и скрипта MsftRecoveryToolForCS.ps1.

Ранее сообщалось, что восстановление работоспособности IT-систем из-за сбоя ПО CrowdStrike во многих компаниях может занять недели.