EDR : une mise à jour défectueuse de CrowdStrike Falcon provoque des pannes massives

Que s’est-il passé ?

Une mise à jour défectueuse d’un pilote associé à la sonde Falcon a été distribuée par CrowdStrike. Elle provoquait des plantages complets – des Blue Screen of Death ou BSOD – sur les machines Windows sur lesquelles elle était installée.

Microsoft a également été affecté. L’éditeur a identifié la cause principale de la panne comme des changements de configuration apportés à une partie de ses traitements de backend Azure, ayant provoqué des interruptions entre les ressources de stockage et de calcul, entraînant des échecs de connectivité qui ont affecté les services Microsoft 365 dépendants de ces connexions.

L’épisode ne manque pas d’une certaine ironie, que d’aucuns n’ont pas manqué de relever : Microsoft est également un acteur de la sécurité des endpoints. Il apparaît dès lors possible qu’il utilise également CrowdStrike Falcon, en complément au moins, sur certains systèmes critiques de son infrastructure.

CrowdStrike a commencé à faire état de notifications de survenues de BSOD peu avant 22h30, heure du Pacifique, jeudi 18 juillet. Une heure plus tard, l’éditeur fournissait un remède manuel à la situation. 

Comment remédier à l’incident ?

Las, une telle intervention manuelle est difficilement applicable à grande échelle : pour un petit parc, c’est faisable, mais pas pour un grand. Cela rappelle les outils de déchiffrement artisanaux fournis par les cybercriminels après paiement de rançon.

L’analyste d’EclecticIQ Arda Büyükkaya a rapidement proposé de quoi automatiser la mise en œuvre du remède proposé initialement par CrowdStrike, via GPO. 

Mais quelques heures plus tard, George Kurtz, PDG de CrowdStrike, indiquait, sur X, que « le problème a été identifié, isolé et un correctif a été déployé ».

Certains relèvent ainsi que redémarrer les machines affectées, jusqu’à ce que les mécanismes de mise à jour de la sonde Falcon remplissent leur office, suffit à ramener les systèmes concernés en état de fonctionnement. Même si, parfois, plusieurs redémarrages sont nécessaires à cela. 

Laurent Besset, directeur cyberdéfense d’I-Tracing, confirme. Ses équipes ont reçu les premières alertes tôt ce vendredi matin et l’incident s’avère globalement « plutôt bien digéré ».

Ce qui ne signifie pas que des effets de l’incident ne perdureront pas quelque peu dans la durée : pour les organisations affectées, notamment celles gérant d’importants flux logistiques physiques, le retour à des conditions opérationnelles nominales pourra prendre quelques jours.