{"id":297737,"date":"2024-07-25T15:07:57","date_gmt":"2024-07-25T13:07:57","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=297737"},"modified":"2024-08-07T11:08:03","modified_gmt":"2024-08-07T09:08:03","slug":"crowdstrike-untersuchungsbericht-schadenssumme-und-entschdigungen-schuldzuweisungen-und-mehr","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2024\/07\/25\/crowdstrike-untersuchungsbericht-schadenssumme-und-entschdigungen-schuldzuweisungen-und-mehr\/","title":{"rendered":"CrowdStrike: Untersuchungsbericht; Schadenssumme und Entschädigungen; Schuldzuweisungen"},"content":{"rendered":"

\"Stop[English<\/a>]Nachdem sich der erste Staub nach dem CrowdStrike-Vorfall, der 8,5 Millionen Windows-Systeme nach einem fehlerhaften Update lahm legte, verzogen hat, gibt es neue Informationen. CrowdStrike hat einen ersten Untersuchungsbericht vorgelegt, was genau passiert ist. Es gibt erste Zahlen zur Schadenssumme und es sind \"Entsch\u00e4digungen\" durch CrowdStrike bekannt geworden. Microsoft zeigt auf die EU, die Schuld habe, dass man das alles nicht besser absichern k\u00f6nne. Und das BSI nimmt sowohl CrowdStrike als auch Microsoft in die Pflicht, besser zu werden.<\/p>\n

<\/p>\n

Der CrowdStrike-Vorfall<\/h2>\n

\"\"Am 19. Juli 2024 kam es auf Grund eines fehlerhaften Signatur-Updates bei der CrowdStrike Falcon-Sicherheitssoftware zum Ausfall von 8,5 Millionen Windows-Systemen. Die verharrten meist in einer BlueScreen-Schleife und lie\u00dfen sich u.U. nicht mehr booten. Betroffen waren Unternehmensrechner, da die oben genannte CrowdStrike Falcon-Software bei Privatleuten nicht im Einsatz ist.<\/p>\n

In Folge standen Flugh\u00e4fen still, Z\u00fcge, Rundfunksender, Tankstellen, L\u00e4den und Banken waren betroffen. F\u00fcr Administratoren der betroffenen Unternehmen hie\u00df es: Versucht, die Windows-Rechner bis zu 15 Mal zu booten und zu hoffen, dass das fehlerhafte Update per Internet durch eine funktionsf\u00e4hige Version ersetzt wird. Oder die Rechner vor Ort manuell vom fehlerhaften Update befreien und wieder arbeitsf\u00e4hig machen. Ich hatte hier im Blog zeitnah – auch \u00fcber die Probleme mit Bitlocker Wiederherstellungsschl\u00fcssel-Abfragen berichtet (siehe Artikellinks am Beitragsende).<\/p>\n

Kurzfassung, warum Windows kollabierte<\/h3>\n

Auf Systemen, wo die CrowdStrike Falcon-Sicherheitssoftware zum Einsatz kam, war ein spezieller Filtertreiber (CSAgent.sys<\/em>) auf der untersten Betriebssystemebene in Windows integriert. Der Treiber war durch Microsoft zertifiziert und wurde bereits w\u00e4hrend des Boot-Vorgangs durch Windows geladen.<\/p>\n

Dieser Filtertreiber las dann Informationen aus Dateien mit der Benennung 'C-00000291-\u202632.sys' und interpretierte diese. Auf Grund fehlerhafter Daten in dieser .sys-Datei kam es dann zu den Abst\u00fcrzen mit BlueScreens durch CSAgent.sy<\/em>. Ich hatte einige Hinweise mit ersten Analysen im Blog-Beitrag CrowdStrike-Analyse: Wieso eine leere Datei zum BlueSceen f\u00fchrte<\/a> vorgestellt.<\/p>\n

Der CrowdStrike Untersuchungsbericht<\/h3>\n

Inzwischen hat CrowdStrike zum 24. Juli 2024 einen vorl\u00e4ufigen Preliminary Post Incident Review (PIR): Content Configuration Update Impacting the Falcon Sensor and the Windows Operating System (BSOD)<\/a> ver\u00f6ffentlicht, in dem erkl\u00e4rt wird, was passiert ist. Die Falcon-Plattform f\u00fchrt ein regelm\u00e4\u00dfiges Update als Bestandteil der dynamischen Schutzmechanismen durch. CrowdStrike liefert Sicherheitsinhaltskonfigurations-Updates f\u00fcr die Falcon Sensoren auf zwei Arten aus:<\/p>\n