Ce qui s’est passé?
Le 19 juillet 2024 à 04h09 UTC, dans le cadre des opérations en cours, CrowdStrike a publié une mise à jour de configuration des capteurs pour les systèmes Windows. Les mises à jour de configuration des capteurs font partie intégrante des mécanismes de protection de la plateforme Falcon. Cette mise à jour de configuration a déclenché une erreur logique entraînant un crash système et un écran bleu (BSOD) sur les systèmes concernés.
La mise à jour de la configuration du capteur qui a provoqué le crash du système a été corrigée le vendredi 19 juillet 2024 à 05h27 UTC.
Ce problème n’est pas le résultat d’une cyberattaque ni lié à celle-ci.
Impact
Les clients exécutant le capteur Falcon pour Windows version 7.11 et supérieure, qui étaient en ligne entre le vendredi 19 juillet 2024 à 04h09 UTC et le vendredi 19 juillet 2024 à 05h27 UTC, peuvent être concernés.
Les systèmes exécutant le capteur Falcon pour Windows 7.11 et versions ultérieures qui ont téléchargé la configuration mise à jour entre 04h09 UTC et 05h27 UTC étaient susceptibles de subir un crash système.
Introduction au fichier de configuration
Les fichiers de configuration mentionnés ci-dessus sont appelés «Fichiers de chaîne” et font partie des mécanismes de protection comportementale utilisés par le capteur Falcon. Les mises à jour des fichiers de canal font partie intégrante du fonctionnement normal du capteur et se produisent plusieurs fois par jour en réponse aux nouvelles tactiques, techniques et procédures découvertes par CrowdStrike. Il ne s’agit pas d’un nouveau processus ; l’architecture est en place depuis la création de Falcon.
Détails techniques
Sur les systèmes Windows, les fichiers de canal résident dans le répertoire suivant :
C:WindowsSystem32driversCrowdStrike
et ont un nom de fichier qui commence par « C- ». Chaque fichier de canal se voit attribuer un numéro en tant qu’identifiant unique. Le fichier de canal concerné dans cet événement est le 291 et aura un nom de fichier qui commence par « C-00000291- » et se termine par une extension .sys. Bien que les fichiers de canal se terminent par l’extension SYS, ils ne sont pas des pilotes de noyau.
Le fichier de canal 291 contrôle la manière dont Falcon évalue l’exécution du canal nommé1 sur les systèmes Windows. Les canaux nommés sont utilisés pour la communication normale, interprocessus ou intersystème sous Windows.
La mise à jour qui a eu lieu à 04h09 UTC a été conçue pour cibler les canaux nommés malveillants récemment observés utilisés par les frameworks C2 courants dans les cyberattaques. La mise à jour de configuration a déclenché une erreur logique qui a entraîné un crash du système d’exploitation.
Fichier de canal 291
CrowdStrike a corrigé l’erreur logique en mettant à jour le contenu du fichier de canal 291. Aucune modification supplémentaire du fichier de canal 291 au-delà de la logique mise à jour ne sera déployée. Falcon continue d’évaluer et de protéger contre l’utilisation abusive des canaux nommés.
Ceci n’est pas lié aux octets nuls contenus dans le fichier de canal 291 ou tout autre fichier de canal.
Assainissement
Les recommandations et informations de remédiation les plus récentes peuvent être trouvées sur notre blog ou dans le Portail d’assistance.
Nous comprenons que certains clients peuvent avoir des besoins d’assistance spécifiques et nous leur demandons de nous contacter directement.
Les systèmes qui ne sont pas actuellement impactés continueront de fonctionner comme prévu, continueront d’assurer la protection et ne risqueront pas de subir cet événement à l’avenir.
Les systèmes exécutant Linux ou macOS n’utilisent pas le fichier de canal 291 et n’ont pas été affectés.
Analyse de la cause originelle
Nous comprenons comment ce problème est survenu et nous effectuons une analyse approfondie des causes profondes pour déterminer comment cette faille logique s’est produite. Cet effort sera continu. Nous nous engageons à identifier toutes les améliorations fondamentales ou de flux de travail que nous pouvons apporter pour renforcer notre processus. Nous mettrons à jour nos conclusions dans l’analyse des causes profondes au fur et à mesure de l’avancement de l’enquête.
1
2024-07-20 04:41:06
1721450020
#Détails #techniques #sur #panne #juillet
