CCNeko berriak

Fecha de publicación: 19/07/2024

El CCN-CERT, del Centro Criptológico Nacional, informa que desde primera hora del día de hoy, 19 de julio de 2024, se han notificado fallos de funcionamiento y bucles de reinicio (lo que provoca la indisponibilidad de los sistemas) en equipos con sistema operativo Windows que tienen desplegado el agente Falcon de CrowdStrike.

El fabricante ha indicado¹ que dichos problemas son debidos a unas modificaciones introducidas en algunos ficheros (channel files²) del agente y ha informado de que ha revertido y eliminado dichos ficheros. No obstante, en aquellos equipos en los que no se hayan podido aplicar estos últimos cambios por no poder arrancar con normalidad, Crowdstrike recomienda las siguientes acciones:

1. Reiniciar Windows en “Modo a prueba de fallos” o en el Entorno de Recuperación de 
   Windows (Windows RE)
2. Borrar el fichero con extensión .sys cuyo nombre comience por C-00000291 dentro 
   del directorio C:\Windows\System32\drivers\CrowdStrike
3. Reiniciar el equipo con normalidad. El fabricante indica que los equipos con cifrado de BitLocker podrían requerir el uso de la clave de recuperación.

El CCN-CERT recomienda seguir el enlace habilitado por CrowdStrike para sus clientes: https://supportportal.crowdstrike.com/s/article/Tech-Alert-Windows-crashes-related-to-Falcon-Sensor-2024-07-19 

Referencias:

1. https://supportportal.crowdstrike.com/s/article/Tech-Alert-Windows-crashes-related-to-Falcon-Sensor-2024-07-19 
2. Los channel files proporcionan un mecanismo para entregar contenido dinámico a los sensores. Por lo general, un archivo de canal contiene datos destinados a respaldar la funcionalidad del sensor, como instrucciones de configuración, firmas de detección, conjuntos de reglas, expresiones regulares para detección y otras funcionalidades. Los channel files permiten que CrowdStrike envíe actualizaciones al sensor sin que los clientes tengan que instalar las actualizaciones del sensor manualmente

Atentamente,

Equipo CCN-CERT