CrowdStrike Update legt weltweit die Server lahm [4. Update Microsoft Recovery Tool bereitgestellt]

Mal kurz informiert: Derzeit machen die Meldungen die Runde, dass Flughäfen, wie der BER, Sender und viele andere derzeit nicht arbeiten können, da die Server mit einem Bluescreen zusammengebrochen sind. Schuld daran ist ein CrowdStrike Sicherheitsupdate.

CrowdStrike ist eine Sicherheitslösung für Windows Server, die weltweit gerne genutzt wird. Der Firma ist dieses Problem bekannt und bietet auch schon eine Lösung an. Über den abgesicherten Modus kann in der Eingabeaufforderung die csagent.sys in csagent.sys.old umbenannt werden.
ren csagent.sys csagent.sys.old, bzw. der crowdstrike Treiberordner selbst umbenannt.

Ein weiterer Workaround:

• Boote Windows im abgesicherten Modus oder in der Windows-Wiederherstellungsumgebung
• Navigiere zum Verzeichnis C:\Windows\System32\drivers\CrowdStrike
• Suche nach der Datei mit der Bezeichnung C-00000291*.sys und lösche sie.
• Danach wieder normal booten

George Kurtz (Präsident von CrowdStrike) hat auf X (Twitter) inzwischen auch eine Nachricht hinterlassen.

„CrowdStrike arbeitet aktiv mit Kunden zusammen, die von einem Fehler betroffen sind, der in einem einzigen Inhaltsupdate für Windows-Hosts gefunden wurde. Mac- und Linux-Hosts sind nicht betroffen. Es handelt sich nicht um einen Sicherheitsvorfall oder einen Cyberangriff. Das Problem wurde identifiziert, isoliert und eine Korrektur wurde bereitgestellt. Wir verweisen unsere Kunden auf das Support-Portal, um die neuesten Updates zu erhalten, und werden weiterhin vollständige und kontinuierliche Updates auf unserer Webseite bereitstellen.“

[Update]: Das fehlerhafte Update wurde inzwischen zurückgezogen und das vorherige Update eingespielt. Die Lage normalisiert sich also wieder.

[2. Update]: Inzwischen gibt es auch die offiziellen Workarounds von CrowdStrike selber. Und Microsoft verweist in einer Nachricht auf die virtuellen Azure-Maschinen, die davon betroffen sind.

[3. Update]:

Microsoft hat heute noch weitere Lösungsmöglichkeiten für Azure VMs und auch Windows 11 und Windows 10 hinzugefügt.

• Recovery Optionen für Azure VMs von Microsoft zu diesem Thema
• Microsoft hat noch als KB5042421 die Fehlermeldungen 0x50 oder 0x7E im Bluescreen mit einer Lösung hier beschrieben.

Inzwischen wurde auch die Fehlerursache herausgefunden, die zu dem weltweiten „Chaos“ geführt hat.

[4. Update]: Microsoft hat jetzt auch ein „Microsoft Recovery Tool“ als „MsftRecoveryToolForCS.ps1“ bereitgestellt. Die Anleitung und den Download dazu findet ihr über diesen Link

Microsoft hat in einer Erklärung auch bekannt gegeben, dass etwa 8,5 Millionen Geräte, also etwa 1 %, von dem Vorfall betroffen waren. 1 % ist nicht viel, aber es hat genau die wichtigen Geräte der Wirtschaft getroffen, wodurch ein großer finanzieller Schaden verursacht wurde.