Crowdstrike แจงอัปเดตพลาดทำระบบ Windows ล่ม จอฟ้า ยันไม่ได้ถูกโจมตีทางไซเบอร์

หลังจาก ธุรกิจ ธนาคาร โรงพยาบาลและสายการบิน ได้รับผลกระทบจากเหตุการณ์ระบบไอที (IT) ขัดข้องทั่วโลก หลังจาก Crowdstrike บริษัทรักษาความมั่นคงปลอดภัยทางไซเบอร์ ที่อัปเดตซอฟต์แวร์ผิดพลาด ส่งผลต่อระบบปฏิบัติการ Windows ของ Microsoft

ล่าสุดวันนี้ 20 ก.ค. CrowdStrike ออกมาชี้แจงเหตุการณ์ดังกล่าวดังนี้

เกิดอะไรขึ้น?

เมื่อวันที่ 19 ก.ค. 2024 เวลา 04.09 น. ตามเวลาท้องถิ่นสหรัฐฯ CrowdStrike ได้อัปเดตการกำหนดค่า Sensor ให้กับระบบ Windows ซึ่งเป็นส่วนหนึ่งของการดำเนินงาน

รายการทันโลก Express

การอัปเดตการกำหนดค่า Sensor เป็นส่วนหนึ่งของกลไกการป้องกันของแพลตฟอร์ม Falcon อย่างต่อเนื่อง การอัปเดตการกำหนดค่านี้ ทำให้เกิดข้อผิดพลาด ส่งผลให้ระบบหยุดทำงานและหน้าจอสีฟ้า (BSOD) บนระบบที่ได้รับผลกระทบ

การอัปเดตการกำหนดค่า Sensor ที่ทำให้ระบบขัดข้องได้รับการแก้ไขแล้ว ในวันศุกร์ที่ 19 ก.ค. 2024 เวลา 05.27 น. ปัญหานี้ไม่ได้มาจากการโจมตีทางไซเบอร์

ผลกระทบ

ลูกค้าที่ใช้ Falcon Sensor สำหรับ Windows เวอร์ชัน 7.11 ขึ้นไป ซึ่งออนไลน์ระหว่างวันศุกร์ที่ 19 ก.ค. 2024 เวลา 04.09 น. ถึง เวลา 05.27 น. อาจได้รับผลกระทบ

ระบบที่ใช้ Falcon Sensor สำหรับ Windows 7.11 ขึ้นไป ที่ดาวน์โหลดการกำหนดค่าที่อัปเดตตั้งแต่เวลา 04.09 น. ถึง 05.27 น. มีความเสี่ยงที่จะเกิดความผิดพลาดของระบบ

กำหนดค่า Files Primer

ไฟล์การกำหนดค่าที่กล่าวถึงข้างต้นเรียกว่า "Channel Files " และ เป็นส่วนหนึ่งของกลไกการป้องกันพฤติกรรมที่ใช้โดย Falcon Sensor  การอัปเดต Channel Files ถือเป็นส่วนหนึ่งของการทำงานของ Sensor และเกิดขึ้นหลายครั้งต่อวันเพื่อตอบสนองต่อกลยุทธ์ เทคนิค และขั้นตอนใหม่ๆ ที่ CrowdStrike ค้นพบ นี่ไม่ใช่กระบวนการใหม่ แต่สถาปัตยกรรมนี้มีมาตั้งแต่เริ่มก่อตั้ง Falcon

รายละเอียดทางเทคนิค

บนระบบ Windows Channel File จะอยู่ใน directory ต่อไปนี้:

C:\Windows\System32\drivers\CrowdStrike\

และมีชื่อไฟล์ขึ้นต้นด้วย “C-” Channel Files แต่ละไฟล์ถูกกำหนดหมายเลขที่ไม่ซ้ำกัน Channel Files ที่ได้รับผลกระทบ คือ 291 และ จะมีชื่อไฟล์ที่ขึ้นต้นด้วย “C-00000291-” และลงท้ายด้วยนามสกุล .sys แม้ว่า Channel Files จะลงท้ายด้วยนามสกุล SYS แต่ก็ไม่ใช่ kernel drivers.

Channel File 291 ควบคุมวิธีที่ Falcon ประเมินการดำเนินการที่ named pipes บนระบบ Windows , named pipes ใช้สำหรับการสื่อสารปกติ ระหว่างกระบวนการ หรือ ระหว่างระบบใน Windows

การอัปเดตที่เกิดขึ้นเมื่อเวลา 04.09 น. ได้รับการออกแบบมาเพื่อกำหนดเป้าหมาย named pipes ที่เป็นอันตราย ซึ่งสังเกตพบใหม่ ถูกใช้โดย frameworks C2 ทั่วไปในการโจมตีทางไซเบอร์ การอัปเดตการกำหนดค่าทำให้เกิดข้อผิดพลาด ซึ่งส่งผลให้ระบบปฏิบัติการหยุดทำงาน

Channel File 291

CrowdStrike ได้แก้ไขข้อผิดพลาดด้วยการอัปเดตเนื้อหาใน Channel File 291 โดยจะไม่มีการเปลี่ยนแปลงเพิ่มเติมใน Channel File 291 นอกเหนือจากที่อัปเดตแล้ว Falcon ยังคงประเมินและป้องกันการใช้ named pipes ในทางที่ผิด

สิ่งนี้ไม่เกี่ยวข้องกับ bytes ว่างที่มีอยู่ในChannel File 291 หรือไฟล์ช่องอื่น ๆ

การแก้ไข

คำแนะนำและข้อมูลการแก้ไข ล่าสุดสามารถพบได้ใน blog หรือ Support Portal เราเข้าใจดีว่าลูกค้าบางรายอาจต้องการการสนับสนุนที่เฉพาะเจาะจง และ ขอให้ติดต่อมาที่เราโดยตรง

ระบบที่ไม่ได้รับผลกระทบในปัจจุบันจะยังคงทำงานตามที่คาดไว้ ให้การป้องกันต่อไป และ ไม่มีความเสี่ยงที่จะเจอเหตุการณ์แบบนี้อีกในอนาคต

ระบบที่ใช้ Linux หรือ mac ไม่ได้ใช้ Channel File 291 จะไม่ได้รับผลกระทบ

การวิเคราะห์สาเหตุที่แท้จริง

เราเข้าใจว่าปัญหานี้เกิดขึ้นได้อย่างไร และเรากำลังทำการวิเคราะห์สาเหตุที่แท้จริงอย่างละเอียดเพื่อพิจารณาว่าข้อบกพร่องนี้เกิดขึ้นได้อย่างไร ความพยายามนี้จะดำเนินต่อไป เรามุ่งมั่นที่จะปรับปรุงพื้นฐาน หรือ ขั้นตอนการทำงานที่เราสามารถทำได้เพื่อเสริมสร้างกระบวนการของเรา และ จะอัปเดตสาเหตุที่แท้จริง ในขณะที่การสืบสวนก็ดำเนินต่อไป

ที่มา: crowdstrike