Microsoft a déclaré que CrowdStrike a mis au point une solution pour accélérer la correction de son infrastructure Azure. En outre, elle collabore avec Amazon Web Services et Google Cloud Platform pour partager des informations sur les effets à l'échelle de l'industrie.Microsoft estime qu'environ 8,5 millions de systèmes Windows ont été touchés par le problème ayant entraîné une panne mondiale, qui concerne un fichier .sys bogué qui a été automatiquement envoyé aux PC Windows utilisant le logiciel de sécurité CrowdStrike Falcon. Une fois téléchargée, cette mise à jour provoquait l'affichage du redoutable écran bleu de la mort sur les systèmes Windows et l'entrée dans une boucle de démarrage.
La grande enseigne de la technologie a souligné que moins de 1 % de toutes les machines Windows ont été touchées.
« Alors que les mises à jour de logiciels peuvent occasionnellement causer des perturbations, les incidents importants comme celui de CrowdStrike sont peu fréquents », a écrit David Weston, vice-président de Microsoft chargé de la sécurité des entreprises et des systèmes d'exploitation, dans un billet de blog. « Nous estimons actuellement que la mise à jour de CrowdStrike a affecté 8,5 millions d'appareils Windows, soit moins d'un pour cent de toutes les machines Windows. Bien que le pourcentage soit faible, les impacts économiques et sociétaux importants reflètent l'utilisation de CrowdStrike par des entreprises qui gèrent de nombreux services critiques ».
La solution « facile » documentée à la fois par CrowdStrike (dont c'est la faute directe) et par Microsoft (qui a été largement blâmé dans les rapports grand public, en partie à cause d'une panne d'Azure sans rapport avec le problème, survenue peu avant le 18 juillet) consistait à redémarrer les systèmes concernés à plusieurs reprises dans l'espoir qu'ils téléchargent un nouveau fichier de mise à jour avant qu'ils ne tombent en panne. Pour les systèmes sur lesquels cette méthode n'a pas fonctionné - et Microsoft a recommandé aux clients de redémarrer jusqu'à 15 fois pour donner aux ordinateurs une chance de télécharger la mise à jour - la solution recommandée a été de supprimer manuellement le mauvais fichier .sys. Cela permet au système de démarrer et de télécharger un fichier corrigé, ce qui résout les problèmes sans laisser les machines sans protection.
Pour faciliter ce processus, Microsoft a publié ce week-end un outil de récupération qui permet d'automatiser le processus de réparation sur certains systèmes concernés. Il s'agit de créer un support de démarrage à l'aide d'une clé USB de 1 à 32 Go, de démarrer à partir de cette clé USB et d'utiliser l'une des deux options pour réparer votre système. Pour les appareils qui ne peuvent pas démarrer via USB (cette option est parfois désactivée sur les systèmes d'entreprise pour des raisons de sécurité), Microsoft documente également une option de démarrage PXE pour le démarrage via un réseau.
WinPE à la rescousse
Le disque amorçable utilise l'environnement WinPE, une version légère de Windows, pilotée par ligne de commande, généralement utilisée par les administrateurs informatiques pour appliquer des images Windows et effectuer des opérations de récupération et de maintenance.
Une option de réparation démarre directement dans WinPE et supprime le fichier affecté sans nécessiter de privilèges d'administrateur. Mais si votre disque est protégé par BitLocker ou un autre produit de chiffrement de disque, vous devrez saisir manuellement votre clé de récupération pour que WinPE puisse lire les données sur le disque et supprimer le fichier. Selon la documentation de Microsoft, l'outil devrait automatiquement supprimer la mauvaise mise à jour CrowdStrike sans intervention de l'utilisateur une fois qu'il peut lire le disque.
Si vous utilisez BitLocker, la deuxième option de récupération tente de démarrer Windows en mode sans échec en utilisant la clé de récupération stockée dans le TPM de votre appareil pour déverrouiller automatiquement le disque, comme cela se produit lors d'un démarrage normal. Le mode sans échec charge l'ensemble minimum de pilotes dont Windows a besoin pour démarrer, ce qui vous permet de localiser et de supprimer le fichier du pilote CrowdStrike sans rencontrer le problème du BSOD. Le fichier se trouve dans Windows/System32/Drivers/CrowdStrike/C-00000291*.sys sur les systèmes concernés. Les utilisateurs peuvent également exécuter « repair.cmd » à partir de la clé USB pour automatiser la correction.
Pour sa part, CrowdStrike a mis en place un « centre de remédiation et d'orientation » pour les clients concernés. Dimanche, l'entreprise a déclaré qu'elle « testait une nouvelle technique pour accélérer la correction des systèmes touchés », mais elle n'a pas donné plus de détails à ce jour. Les autres correctifs décrits sur cette page comprennent le redémarrage à plusieurs reprises, la suppression manuelle du fichier concerné ou l'utilisation du support de démarrage de Microsoft pour automatiser le correctif.
Le secteur de l'assurance s'attend à une augmentation des demandes d'indemnisation
Les courtiers en assurance s'attendent à une augmentation des demandes d'indemnisation liées à la panne. Marsh, l'une des principales sociétés de courtage, a confirmé que des clients avaient informé les assureurs de leur intention de déposer des demandes d'indemnisation. « Il s'agit d'un événement qui devrait être couvert par la cyberassurance », a déclaré Meredith Schnur, responsable de la pratique cybernétique de Marsh pour les États-Unis et le Canada.
Southern Cross Travel Insurance (SCTI) a détaillé les dispositions relatives aux demandes d'indemnisation découlant de la panne. « Cette panne a eu des répercussions sur de nombreux services, notamment les compagnies aériennes, les aéroports et d'autres fournisseurs de transport. Si vous avez été affecté par cet événement, nous vous demandons de contacter votre compagnie aérienne ou votre agence de voyage en premier lieu pour prendre d'autres dispositions ». Elle a précisé que les polices souscrites avant 17 heures le 19 juillet peuvent couvrir les frais encourus à la suite de l'incident, sous réserve des conditions générales de la police.
De son côté, l'Agence nationale d'assurance invalidité (NDIA) a indiqué que ses systèmes n'avaient pas été affectés par la panne. Elle a toutefois conseillé aux Australiens de rester vigilants face à d'éventuelles escroqueries profitant de la situation.
Sources : Microsoft, environnement WinPE, Southern Cross Travel Insurance
Et vous ?
Quelle est la responsabilité des entreprises de cybersécurité lorsqu’une mise à jour défectueuse provoque des perturbations majeures sur les systèmes des utilisateurs ? Comment pouvons-nous améliorer la communication entre les entreprises de sécurité et les utilisateurs lorsqu’un problème survient ? Quelles mesures devraient être prises pour minimiser l’impact économique et social de tels incidents à l’avenir ? Pensez-vous que les entreprises devraient être tenues responsables financièrement lorsqu’une mise à jour défectueuse entraîne des pertes importantes pour les utilisateurs ? Quelles alternatives à CrowdStrike recommanderiez-vous aux entreprises pour garantir la sécurité de leurs systèmes ? 
Envoyé par weed
C'est le ba-ba niveau sécurité. C'est bien des bonnes pratiques, mais ça ne résoud pas le problème de fond. L'accès au noyau doit-être "sécurisé", point. Et le meilleur moyen, c'est d'en interdire l'accès. Au minimum, les sociétés ayant besoin de cet accès doivent travailler en "trés" étroite collaboration avec une équipe de Microsoft. Equipe dont ce serait la spécialité et l'unique but.
Et comment savoir si ce "partenaire" a ignoré les SDP ? Une fois une panne découverte ? Parce que compter sur la "transparence et la responsabilité", c'est bien beau, mais ça n'êmpéchera pas une nouvelle catastrophe de se produire. 
