Fecha de publicación: 19/07/2024
El CCN-CERT, del Centro Criptológico Nacional, informa que desde primera hora del día de hoy, 19 de julio de 2024, se han notificado fallos de funcionamiento y bucles de reinicio (lo que provoca la indisponibilidad de los sistemas) en equipos con sistema operativo Windows que tienen desplegado el agente Falcon de CrowdStrike.
El fabricante ha indicado que dichos problemas son debidos a unas modificaciones introducidas en algunos ficheros (channel files1) del agente y ha informado de que ha revertido y eliminado dichos ficheros. No obstante, en aquellos equipos en los que no se hayan podido aplicar estos últimos cambios por no poder arrancar con normalidad, Crowdstrike recomienda las siguientes acciones:
- Reiniciar Windows en “Modo a prueba de fallos” o en el Entorno de Recuperación de
Windows (Windows RE) - Borrar el fichero con extensión .sys cuyo nombre comience por C-00000291 dentro
del directorio C:\Windows\System32\drivers\CrowdStrike - Reiniciar el equipo con normalidad. El fabricante indica que los equipos con cifrado de BitLocker podrían requerir el uso de la clave de recuperación.
Más información:
- Enlace habilitado por CrowdStrike para sus clientes: https://supportportal.crowdstrike.com/s/article/Tech-Alert-Windows-crashes-related-to-Falcon-Sensor-2024-07-19
- Herramienta de recuperación de Microsoft: https://techcommunity.microsoft.com/t5/intune-customer-success/new-recovery-tool-to-help-with-crowdstrike-issue-impacting/ba-p/4196959
Referencias:
- Los channel files proporcionan un mecanismo para entregar contenido dinámico a los sensores. Por lo general, un archivo de canal contiene datos destinados a respaldar la funcionalidad del sensor, como instrucciones de configuración, firmas de detección, conjuntos de reglas, expresiones regulares para detección y otras funcionalidades. Los channel files permiten que CrowdStrike envíe actualizaciones al sensor sin que los clientes tengan que instalar las actualizaciones del sensor manualmente.
Atentamente,
Equipo CCN-CERT
