Na manhã de sexta-feira, algumas das maiores companhias aéreas, emissoras de TV, bancos e outros serviços essenciais ficaram paralisados devido a uma enorme interrupção global. A causa dessa interrupção, que resultou na Tela Azul da Morte em muitos computadores Windows, está ligada a uma única empresa de software: CrowdStrike.
A CrowdStrike desempenha um papel importante ao ajudar empresas a encontrar e prevenir violações de segurança, se apresentando como tendo o “tempo médio mais rápido” para detectar ameaças. Desde seu lançamento em 2011, a empresa com sede no Texas ajudou a investigar grandes ciberataques, como o hack da Sony Pictures em 2014, bem como os ciberataques russos no Comitê Nacional Democrata em 2015 e 2016. Na noite de quinta-feira, a avaliação da CrowdStrike estava acima de US$ 83 bilhões.
A empresa também possui cerca de 29.000 clientes, com mais de 500 na lista da Fortune 1000, de acordo com o site da CrowdStrike.
Mas essa popularidade a colocou na posição de causar estragos quando algo deu errado, com sistemas que usam CrowdStrike e hardware baseado em Windows ficando offline em massa nesta manhã. O CEO da CrowdStrike, George Kurtz, disse na sexta-feira que a empresa está “trabalhando ativamente com clientes afetados por um defeito encontrado em uma única atualização de conteúdo para hosts do Windows” ao enfatizar que o problema não está relacionado a um ciberataque. Também não afeta máquinas Mac ou Linux.
A interrupção de 19 de julho está ligada à plataforma Falcon da CrowdStrike, uma solução baseada em nuvem que combina várias soluções de segurança em um único hub, incluindo capacidades de antivírus, proteção de endpoint, detecção de ameaças e monitoramento em tempo real para prevenir acesso não autorizado ao sistema de uma empresa.
A atualização em questão parece ter instalado software defeituoso no sistema operacional
A atualização em questão parece ter instalado software defeituoso no Windows, fazendo com que os sistemas ficassem presos em um loop de inicialização. Os sistemas exibem uma mensagem de erro que diz: “Parece que o Windows não carregou corretamente”, dando aos usuários a opção de tentar métodos de solução de problemas ou reiniciar o PC. Muitas empresas, incluindo uma companhia aérea na Índia, recorreram à maneira antiga de fazer as coisas manualmente.
“Nossos softwares são extremamente interconectados e interdependentes”
“Nossos softwares são extremamente interconectados e interdependentes”, disse Lukasz Olejnik, pesquisador independente de cibersegurança, consultor e autor do livro Philosophy of Cybersecurity, ao The Verge. “Mas, em geral, há muitos pontos únicos de falha, especialmente quando existe uma monocultura de software em uma organização.”
Embora a CrowdStrike tenha implantado uma correção, colocar as coisas de volta em funcionamento não será uma tarefa simples. Olejnik disse ao The Verge que essa questão pode levar “dias a semanas” para ser resolvida, pois os administradores de TI podem precisar ter acesso físico a um dispositivo para colocá-los em funcionamento novamente. A rapidez com que isso acontecerá depende do tamanho e dos recursos da equipe de TI de uma empresa. “Alguns sistemas em certas circunstâncias específicas podem ser irrecuperáveis, mas presumo que a maioria será recuperada”, acrescentou Olejnik.
Solução temporária
Embora a CrowdStrike tenha implementado uma correção, resolver o problema não será fácil. Os administradores de TI estão tentando usar uma solução inicial fornecida pela CrowdStrike, que envolve inicializar os sistemas Windows no Modo de Segurança e excluir um arquivo do sistema:
- Inicialize o Windows no Modo de Segurança ou no Ambiente de Recuperação do Windows.
- Navegue até o diretório C:\Windows\System32\drivers\CrowdStrike.
- Localize o arquivo correspondente a “C-00000291*.sys” e exclua-o.
- Inicialize o host.
Esses passos forçam o Windows a inicializar no Modo de Segurança, onde drivers de terceiros, como o driver de nível de kernel da CrowdStrike, não são carregados. Os administradores de TI devem localizar o driver defeituoso no disco e excluí-lo. Essa solução exige, na maioria dos casos, acesso físico à máquina e pode ser complicada por criptografia de disco, como o BitLocker, ou até mesmo a falta de direitos de administrador para excluir o driver defeituoso.
