Wired: сбой в работе обновления CrowdStrike принес компаниям миллионные убытки

Банки, аэропорты, телевизионные станции, поликлиники и больницы, гостиницы и множество других учреждений столкнулись с массовыми сбоями в работе программного обеспечения. Операционные системы Windows по всему миру выдавали ошибку, из-за которой вылет самолетов задержался, а работа предприятий нарушилась самым серьезным образом.

Рано утром в пятницу австралийские компании, использующие операционную систему Microsoft Windows, начали жаловаться на появление так называемого синего экрана смерти (BSOD). Вскоре после этого сообщения о сбоях начали поступать со всего мира, в том числе из Великобритании, Индии, Германии, Нидерландов и США. В частности, телеканал Sky News временно прекратил вещание, а американские авиакомпании United, Delta и American Airlines остановили вылет всех рейсов.

Оказалось, что повсеместные сбои в работе Windows связаны с обновлением программного обеспечения от гиганта кибербезопасности CrowdStrike. По словам представителей компании, проблемы предположительно связаны не со злонамеренной деятельностью и кибератаками, а с неправильно настроенным либо поврежденным обновлением, которое CrowdStrike выпустила для клиентов.

Инженеры из CrowdStrike заявили на форуме компании Reddit, что видели “повсеместные сообщения о “синих экранах смерти” на устройствах с операционной системой Windows”. Они добавили, что работают над проблемой, посоветовали временное решение и выдали клиентам инструкции и рекомендации.

Складывалось ощущение, что инцидент коснулся лишь устройств под управлением Windows, но не других операционных систем. Был неясен ни масштаб проблемы, ни сколько времени потребуется на ее устранение. Ни Microsoft, ни CrowdStrike на просьбу журнала Wired прокомментировать сбой не откликнулись.

Через несколько часов после возникновения проблемы генеральный директор CrowdStrike Джордж Курц (George Kurtz) заявил, что компания обнаружила “дефект” в выпущенном ею обновлении для Windows. “Это не проблема безопасности и не кибератака, — заявил Курц. — Проблема установлена и локализована, и ее исправление ведется”. Курц подтвердил, что обновление не затронуло устройства с Mac и Linux, и призвал клиентов обратиться в службу поддержки.

Представитель Microsoft также выступил с заявлением. Он сообщил, что компания в курсе проблем с устройствами Windows и предположил, что “решение скоро появится”. Одновременно с возникновением проблем c CrowdStrike, Microsoft столкнулась с отдельным, не связанным с ними сбоем в работе облачных сервисов Azure.

Независимый консультант по кибербезопасности Лукаш Олейник (Lukasz Olejnik) предположил, что обновление CrowdStrike связано с датчиком Falcon. Пострадавшим организациям, чья текущая работа нарушилась, сбои могли нанести “миллионные” убытки. По данным CrowdStrike, система Falcon — часть инструментария безопасности для блокировки атак на системы.

“Это напоминание о том, насколько мы зависимы от информационных технологий и программного обеспечения, — говорит Олейник. — Когда внутри системы имеется несколько программных систем от разных поставщиков — это знак доверия к ним. Но при этом они же могут стать единой точкой отказа, как и произошло в данном случае. И последствия этого ощущают на себе самые разные компании”.

Сбой в результате обновления CrowdStrike оказал огромное влияние на государственные услуги и бизнес по всему миру. Множество аэропортов столкнулось с задержками вылетов и длинными очередями, а один пассажир из Индии даже поделился фотографией рукописного посадочного талона, который ему выдали. В целом по всему миру отменено почти 1 400 рейсов.

Пострадала также сфера здравоохранения и экстренной помощи. Так, поставщики медицинских услуг по всему миру жаловались на системные сбои на устройствах Windows и делились новостями об этом в социальных сетях или на собственных сайтах. Американская система экстренного оповещения об ураганах сообщила об отключениях в ряде штатов. Университетская больница в немецкой земле Шлезвиг-Гольштейн отменила несрочные операции в двух отделениях. В Израиле пострадали более десятка больниц и аптек. Сообщается, что кареты скорой помощи были перенаправлены в незатронутые сбоем медицинские учреждения.

Национальная служба здравоохранения Англии подтвердила, что нарушились система записи к врачам и база данных пациентов. Одна больница объявила о “критическом” инциденте после сбоя сторонней информационной системы. Железнодорожные перевозчики по всей Великобритании также заявили о задержках при отправлении поездов, от которых пострадали несколько компаний.

Отметив обширный характер сбоя, организаторы Олимпиады в Париже, которая должна начаться на следующей неделе, заявили, что их системы пострадали лишь “ограниченным образом”. Согласно заявлению организаторов, нарушение коснулось лишь доставки униформы, а система продажи билетов не пострадала.

Наряду с другими услугами, CrowdStrike предоставляет компаниям по всему миру системы обнаружения угроз и реакции на конечных точках. Эта технология установлена на тысячах устройств, включая компьютеры, банкоматы и элементы “Интернета вещей”, и сканирует их в реальном времени на предмет угроз (в том числе вредоносной деятельности киберпреступников). Всего у компании более 24 000 клиентов по всему миру.

Исследователь кибербезопасности Кевин Бомонт (Kevin Beaumont) сообщил у себя в X (бывший Twitter), что видел копию выпущенного обновления CrowdStrike. Он заметил, что файл неверно отформатирован и “каждый раз приводит к сбою Windows”. Позднее Бомонт написал, что автоматического способа решить проблему, похоже, не существует — по крайней мере, на данный момент. Это может означать, что пострадавшие устройства необходимо перезагрузить вручную, чтобы они смогли снова подключиться к сети, однако этот процесс может занять часы или даже дни, в зависимости от объекта.

Директор CrowdStrike по надзору Броуди Нисбет (Brody Nisbet) сообщил у себя в X, что предложенное компанией исправление предполагает следующие меры: загрузить компьютер с Windows в безопасном режиме, найти и удалить файл с именем C-00000291*.sys, после чего перезагрузиться в нормальном режиме. “Есть некое исправление, поэтому некоторые устройства между “синими экранами смерти” должны получить новый файл канала и стабилизироваться”, — написал Нисбет.

Автор: Мэтт Берджесс (Matt Burgess).