O CEO da CrowdStrike, George Kurtz, disse recentemente que 97% dos sensores Falcon estavam novamente online na quinta-feira passada, embora a recuperação da interrupção global de TI continue em andamento. Esta foi a informação avançada uma semana depois do apagão que afectou 8,5 milhões de equipamentos com Windows.

Ler relatório preliminar da empresa.

Kurtz referiu que o progresso foi melhorado devido ao desenvolvimento de técnicas de recuperação automatizadas. A CrowdStrike está a tomar medidas para evitar que tal incidente aconteça novamente, após a divulgação de um relatório preliminar de incidente no início da semana.

Kurtz pediu desculpas pessoalmente a todos os afectados pela interrupção e agradeceu aos clientes, parceiros e membros da equipa da CrowdStrike pelo seu papel na recuperação.

“Para os nossos clientes ainda afectados, saibam que não descansaremos até conseguirmos a recuperação total”, escreveu Kurtz no post do LinkedIn. “Na CrowdStrike, a nossa missão é ganhar sua confiança enquanto protegemos suas operações.”

CrowdStrike emitiu um relatório preliminar na terça-feira mostrando um erro não detectado em numa actualização de software de configuração de resposta rápida no sensor Falcon da empresa levou à interrupção.

Como resultado, cerca de 8,5 milhões de dispositivos Microsoft Windows caíram e, embora isso representasse menos de 1% das instalações de dispositivos Windows, interrompeu as operações em grandes companhias aéreas, bancos, hospitais e outras organizações críticas em todo o mundo.

A Microsoft lançou uma actualização de recuperação separada, descrevendo os passos em curso para criar mais resiliência na plataforma Windows, de modo a garantir que é possível evitar uma falha tão grande no futuro.

“Este incidente mostra claramente que o Windows deve dar prioridade à mudança e à inovação na área da resiliência de ponta a ponta”, afirmou John Cable, vice-presidente de manutenção e fornecimento do Windows, num blogue na quinta-feira. “Estas melhorias devem ser acompanhadas por melhorias contínuas na segurança e estar em estreita cooperação com os nossos muitos parceiros, que também se preocupam profundamente com a segurança do ecossistema Windows.”

Cable destacou os esforços recentes, incluindo a introdução de enclaves VBS, que é um “ambiente de execução confiável baseado em software dentro de um aplicativo host”. Em Janeiro, a empresa revelou o Microsoft Azure attestation, que é um serviço para ajudar a verificar se uma plataforma é fiável e confirmar a integridade dos binários executados dentro dela.

O incidente pôs em evidência as preocupações sobre a forma como um único ponto de falha poderia ter perturbado uma faixa tão vasta de fornecedores de infra-estruturas críticas nos EUA e a nível mundial.

O que aconteceu?

O software de segurança defensiva Falcon (uma espécie de antivirus inteligente de nova geração) da empresa norte-americana de cibersegurança Crowdstrike, implementado normalmente por médias e grandes empresas nos terminais Windows dos colaboradores tendo em vista a protecção em tempo real a diversos tipos de ataques, sofreu uma actualização que teve impactos nocivos para os seus utilizadores devido a uma falha técnica. Estas actualizações têm em vista, normalmente, a resolução de problemas de segurança ou problemas funcionais. A actualização automática foi enviada para todos os utilizadores que usavam o sensor Falcon da Crowdstrike, porém, um dos ficheiros do pacote de actualização encontrava-se danificado. Esta situação comprometeu e interrompeu a disponibilidade de serviços ligados a máquinas com sistema Windows. Com esta situação, o sistema Windows, ao depender desse ficheiro para arrancar, ficava em loop permanentemente e não arrancava. A Crowdstrike fez um novo update que resolveu o problema. Porém, a dificuldade maior prendeu-se com o facto de, pelo facto de os computadores, por não arrancarem, não conseguiam ficar online e, consequentemente, impossibilitados de fazer a correcção. A correcção do ficheiro danificado passou pela alteração in loco, fisicamente, do mesmo – uma tarefa árdua quando falamos de milhares de computadores. No relatório preliminar é apontado que empresa testa regularmente as suas actualizações de software antes de as enviar para os clientes, mas em 19 de Julho, um bug no sistema de teste baseado em nuvem da CrowdStrike – especificamente, a parte que executa verificações de validação em novas actualizações antes do lançamento – acabou por permitir que o software fosse enviado “apesar de conter dados de conteúdo problemáticos”.

O problema começou a ser relatado na Austrália e espalhou-se para os Estados Unidos, Índia e Europa, afectando uma grande variedade de serviços, incluindo companhias aéreas, transmissões de televisão e supermercados, entre outros.

A seguradora Parametrix estimou que o impacto nas empresas da Fortune 500 fosse de 5,4 mil milhões de dólares devido à paralisação, tendo sido contempladas 125 empresas, ou seja, 25% das empresas listadas. Apenas 10 a 20% das perdas foi segurada, apontava a empresa.