Windows主机因CrowdStrike遭遇蓝屏事件——更新版

摘要

2024年7月19日星期五UTC时间04:09（中欧时间06:09，山地标准时间星期四21:09），一个有缺陷的CrowdStrike传感器配置更新——具体是一个"频道文件"——导致了广泛的问题，使运行传感器版本7.11及以上的Windows主机遭遇蓝屏死机（BSOD）。

CrowdStrike在90分钟内解决了此问题，于UTC时间05:27回退了有问题的频道文件。

关键要点：

该问题影响了在UTC时间04:09至05:27期间在线并接收到有缺陷的频道文件"C-00000291-*“的Windows主机。

CrowdStrike提供了两种识别可能受影响主机的方法：专用仪表板和高级事件搜索查询。

在UTC时间04:09至05:27期间离线的Windows主机不受影响。此外，Linux和Mac主机也不受影响。

CrowdStrike在Next-Gen SIEM > 日志管理 > 仪表板下发布了多个仪表板。

我们建议使用"hosts_possibly_impacted_by_windows_crashes_granular_status"仪表板，使用方法如下：

在"按aid子集影响的传感器"小部件中，点击右上角的菜单找到将结果导出到文件的选项。

各云环境的链接：

更多信息可在专用页面找到：https://supportportal.crowdstrike.com/s/article/ka16T000001tm1eQAA

除了仪表板，CrowdStrike还提供了用于识别可能受影响主机的查询语句。这些查询可在仪表板页面末尾找到：https://supportportal.crowdstrike.com/s/article/ka16T000001tm1eQAA

高级事件搜索页面链接：

CrowdStrike和云供应商根据主机类型提供了多种官方修复选项：

手动修复 有报告称多次重启主机可能允许下载回退的频道文件。建议将主机连接到有线网络而不是WiFi，并尝试多次重启。

如果主机继续崩溃，请按照以下步骤操作：

启动到安全模式或Windows恢复环境：https://support.microsoft.com/en-us/windows/start-your-pc-in-safe-mode-in-windows-92c27cff-db89-8644-1ce4-b3e5e56fe234
导航到%WINDIR%\System32\drivers\CrowdStrike目录
仅删除匹配"C-0000029*.sys"的文件
正常启动主机

对于使用BitLocker加密的主机，可能需要恢复密钥。CrowdStrike在https://www.crowdstrike.com/blog/statement-on-falcon-content-update-for-windows-hosts/上提供了多种检索BitLocker密钥的方法

通过USB工具修复

自动修复 最后，CrowdStrike刚刚在今天（7月22日星期一）发布了一种自动修复主机的方法。

此过程需要选择加入：您需要联系CrowdStrike支持或提供来自您Falcon管理员之一的CFC授权。

然后，需要多次重启受影响的主机，以便传感器有机会在应用之前下载最新指令（隔离有缺陷的频道文件）。

建议将主机连接到有线网络。

更新：7月23日星期二，现在已为所有客户应用并改为选择退出。不再需要向CrowdStrike支持或CFC开案例。因此，仅在主机未恢复时执行手动或通过USB修复。

由于中断的规模，威胁行为者很可能针对CrowdStrike客户。CrowdStrike情报已经报告了可能用于冒充其网站的域名注册。

CFC正在积极监控情况，并在必要时通知客户进一步的发展。