Crowdstrike orsakar datorer att krascha – vad har hänt?

Under morgonen idag började nyhetsredaktioner världen över rapportera att en stor mängd datorer kraschat. Användarna möttes av en blå skärm som sade att ett kritiskt fel uppstått, vilket orsakats av Crowdstrikes antivirusprogram. Men vad är det som har hänt med Crowdstrike?

Vad hände med Crowdstrike?

Under morgonen så rullade Crowdstrike ut en rutinmässig uppdatering i sin programvara. När datorn sedan ska startas upp avbryts processen då en systemfil har blivit korrupt i och med uppdateringen. Eftersom datorn kraschar redan i uppstartsfasen så är det extra besvärligt att försöka lösa problemet på distans, vilket är det vanligaste tillvägagångssättet vid sådana här incidenter. Eftersom så många företag och maskiner är drabbade samtidigt, gör det att resurserna för att lösa problemen är högt ansatta.

Temporär lösning

Crowdstrike har själva identifierat problemet, och gett användarna en instruktion på en workaround för att ta sig in i datorn. Instruktionen kräver dock lite teknisk kunskap för att genomföra:

1. Starta Windows i felsäkert läge,
2. Gå in i mappen ”C:\Windows\System32\drivers\CrowdStrike” och leta upp systemfilen “C-00000291*.sys”,
3. Ta bort ”C-00000291*.sys” från systemet och starta om datorn.

Användare på Reddit har även föreslagit att helt sonika byta namn på CrowdStrike-mappen till något annat, exempelvis CrowdStrike_old. Många användare rapporterar dock att instruktionerna enbart fungerar om du har BitLocker avstängt på datorn. Annars känner BitLocker av att du försöker göra systemändringar och låser ut dig ur systemet om du inte har BitLocker-nyckeln. Nyckeln finns oftast i Azure AD, men även Microsoft har haft problem under morgonen till följd av CrowdStrike-problemen. Många hostar även sitt AD på en Windows-maskin som själv har blivit drabbad av buggen – och då kommer de inte åt nycklarna i alla fall.

Kolla över åtgärdsplaner vid incident

Sverige verkar lyckligtvis inte vara lika allvarligt drabbat som exempelvis Australien eller USA. Men precis som vid andra stora incidenter, så blir det en bra påminnelse att revidera sina kritiska system och kolla över sin åtgärdsplan vid denna typ av störningar. Att ett så stort företag som CrowdStrike drabbas är ännu ett bevis på att även de största företagen kan drabbas. Att flytta över sin information i molnet ökar flexibiliteten och skalbarheten, men medför även risker som är utom din kontroll.

• Se till att ha papperskopia på de viktigaste dokumenten. Åtgärdsplaner, viktiga lösenord (som Bank-ID) och BitLocker-koder är exempel på saker som är bra att ha utskrivet på papper och lagrat på ett säkert ställe.
• Simulera IT-relaterade katastrofsituationer. Många har en åtgärdsplan i händelse av brand eller sjukdomsfall på arbetsplatsen. Men väldigt få har en plan B för vad som händer om kritiska IT-system går ner. Bygg bort så många single-point-of-failures som möjligt!
• Utbilda kollegorna. Genom ständig fortbildning inom IT-säkerhet minskar risken avsevärt för att IT-attacker eller driftstopp sker. I fall som med CrowdStrike ligger kontrollen utanför företaget hos en extern part. Men precis som du förväntar dig att CrowdStrike ska undvika katastrofer, så förväntar sig dina partners och kunder att du undviker katastrofer. Det är även bra att använda sig av en extern part såsom Straznet, som ser företaget ur ett utifrånperspektiv.