19. јула 2024. године, неисправно ажурирање безбедносног софтвера компаније CrowdStrike довело је до прекида рада многобројних рачунара и виртуелних машина које користе Мајкрософт виндоус.
Прекид рада утицао је на одвијање авио и железничког саобраћаја, на рад хитних служби, банака, хотела, берза и болница, електронско плаћање и емотивање ТВ и радио програма. У року од неколико сати грешка је откривена и издата је закрпа али како је поправка погођених рачунара морала бити извршена ручно (због интегрисаности CrowdStrike софтвера у кернел простор) проблем је се одужио на цео дан.
Техничка позадина CrowdStrike је америчка компанија која производи безбедносне софтвере намењене да заштите систем од сајбер напада. Производ Фалкон сензор је мрежни сензор који ради на нивоу оперативног система појединачног рачунара како би открио и спречио претње. CrowdStrike периодично дистрибуира закрпе својим корисницима како би у софтвер додао заштиту за нове претње. Закрпа дистрибуирана 19. јула 2024. године изазвала је глобални прекид рада ИТ система.
19. јула 2024. у 04:09 по УТЦ времену, виртуелне машине са Виндоус оперативним системом на Мајкрософт Азур сервису постале су недоступне. У 06:48 Гугл клауд платформа пријављује исти проблем. У 07:15, Гугл је објавио да је закрпа за софтвер Фалкон Сензор компаније CrowdStrike узрок проблема.
CrowdStrike је издао службену потврду поводом проблема. У 09:45 по УТЦ времену Џорџ Курц, директор компаније CrowdStrike, потврдио је да је ажурирање софтвера његове команије довело до проблема.
Узрок проблема алт=Плави екран смрти изазван ажурирањем Фалкон сензора|мини|Плави екран смрти изазван ажурирањем Фалкон сензора Ажурирање конфигурационе датотеке издато 19. јула 2024. у 04:09 по УТЦ времену било је у сукобу са клијентом сензора, што је довело до тога да погођене машине прикажу плави екран смрти са стоп кодом PAGE_FAULT_IN_NONPAGED_AREA. Компанија CrowdStrike потврдила је да се не ради о сајбер нападу, већ о интерној грешци.
Проблем се манифестовао на машинама које користе оперативни систем Виндоус 7 или новији, попут Виндоус 10 и Виндоусa 11. Машине које користе старије верзије Виндоус оперативног система, као и машине које користе Линукс и Мек ОС нису биле погођене проблемом.
Решење проблема Издато је привремено решење за погођене машине које корисницима препоручује да:
Покрену Виндоус у Safe mode-у или Windows Recovery Environment-у, Пронађу CrowdStrike фасциклу на путањи: C:\Windows\System32\drivers\CrowdStrike, Пронађу и обришу датотеку: “C-0000291*.sys”, Покрену систем поново.
Овај поступак мора бити одрађен локално на свакој појединачној машини.
За виртуелне машине попут оних у облаку проблем је такође могуће решити враћањем на пређашње стање од 04:09 или раније по УТЦ времену.
CrowdStrike је у 05:27 по УТЦ времену поништио ажурирање које је довело до проблема. Уређаји који су покренути или конектовани на Интернет тек наког тога нису погођени проблемом.
Додатне компликације изазване употребом Битлокер механизма Битлокер је безбедоносни механизам оперативног система Виндоус која омогућава ФДЕ, односно енкрипцију целог хард диска. Механизам је намењен да заштити диск од неовлашћеног приступа у случају да је уређај изгубљен, украден или неправилно изводен из употребе. Битлокер захтева употребу кључа или лозинке приликом покретања уређаја.
Проблем изазван ажурирањем Фалкон сензора додано је погоршан употребом Битлокер механизма у случајевима када су сервери где се чувају Битлокер кључеви такође били погођени.
Утицај на свет По подацима из 2023. године компанија CrowdStrike чији софтвер је изазвао прекида рада имала је 24 хиљаде корисника. Међу њима налазило се скоро 60% компанија са Форбсове листе 500 најуспешнијих, као и скоро пола компанија са листе 1000 најуспешнијих. Тачан број машина погођених инцидентом није могуће утврдити.
Нису сви делови света били једнако погођени. У Кини су погођене искључиво стране компаније, док су остали системи нормално функционисали услед настојања Кине да искључиво користи домаће развијен софтвер. Земље под санкцијама попут Русије и Ирана нису осетиле последице, јер је у њима забрањена употреба софтвера америчких компанија.
Утицај на саобраћај Последице напада осетиле су се у авио, железничком и копненом саобраћају.
Глобално је отказано 5,169 летова, од чега 3,401 летова који као земљу дестинацију или полазну земљу имају Сједињене Америчке државе. Аеродроми у Хонг Конгу, Индији и Белгији били су принуђени да издају ручно писане карте за укрцавање за летове. +Преглед авиокомпанија које су имале техничке проблеме услед Фалкон сензораКомпанијаЛокацијаУтицајЈунајтед ерлајнсСједињене Америчке ДржавеПривремено заустављена полетања. Отказано 407 летова, односно 22% планираних летова.Делта ерлајнсСједињене Америчке ДржавеПривремено заустављена полетања. Отказано 1206 летова, односно 31% планираних летова.Американ ерлајнсСједињене Америчке ДржавеПривремено заустављена полетања, део отказан. Отказано 407 летова, односно 47% планираних летова.Портер ерлајнсКанадаОтказана сва полетања у преподневним часовимаРајанерИрскаОнлајн сервиси били недоступни. Отазан део летова.Виз ЕрМађарскаОнлајн сервиси били недоступни, укључујући сервисе за продају карти и чекирање.КЛМХоландијаОтказани и каснили летови.ТрансавиаХоландијаКанали за комуникацију са путницима нису радили.Теркиш ЕрлајнсТурскаОтказан део локалних летова и летова ка дестинацијама у Европи.
Утицај на сектор финансија Проблем је погодио многобројне светске банке, укључујући ЈП Морган и Банку Америке у Сједињеним Америчким државама.
Утицај на регион
Србија Авио компанија Ер Србија издала је саопштење о могућим великим одступањима од планираног реда летења у путничком авио саобраћају због техничких проблема.
Хрватска Хрватска контрола зрачне пловидбе пријавила је да имају одређене потешкоће, али рад контроле није био угрожен.
Одређене потешкоће у раду пријавиле су Ерсте и Адико банка. Проблеми су детектовани у сегменту слања СМС обавештења корисницима, што је даље утицало на привремену недоступност појединих услуга попут дигиталних захтева за израду картица, али не и на обављање интернет трансакција.
Хрватска радио телевизија пријавила је да су имали проблем са стотињак рачунара, али приказивање програма није било ометено.
Истовремено са инцидентом, у Хрватској је забележен пад централног здравственог система, где приступ заказаним прегледима и рецептима није био могућ. Хрватски завод за здравствено осигурање демантовао је повезаност инцидената.
Босна и Херцеговина Проблем је забележен у банци ПроКредит, где нису радили интернет сервиси, платне и готовинске услуге.
Словенија Аеродром у Љубљани издао је упозорење о могућим кашњењима због проблема у систему. Чекирање путника за лет вршено је ручно, али није било отказивања летова.
Системи у фабрици лекова Крка били су погођени и производња је заустављена.
Црна Гора Проблем је забележен у раду система Адико банке, где нису радили интернет сервиси.
Референце
Категорија:Рачунарска безбедност Категорија:Софтвер 2024.