​黑天鹅出没！微软突发“蓝屏派对” ，系统崩溃影响全球

黑天鹅出没！微软突发“蓝屏派对” ，系统崩溃影响全球

7 月 19 日 , 微软在全球多地出现 " 蓝屏故障 ", 大量用户无法正常操作系统 , 其中不少出现了 "csagent.sys" 错误。其原因是美国网络安全服务提供商 CrowdStrike 更新错误所致。该事件影响到了世界各地的各种组织和服务，包括机场、电视台和医院等大型企业。

事发当天，大量用户反馈在安装 CrowdStrike Falcon Sensor 的最新更新后，Windows 主机陷入启动循环或显示蓝屏死机  ( BSOD ) 。

该安全供应商承认了该问题，并发布了技术警报，解释称其工程师 " 发现了与此问题相关的内容部署并撤销了这些更改 "。

CrowdStrike 的工程团队迅速应对了这一危机。根据该公司论坛上的一个置顶帖，该团队已确定与该问题相关的内容部署并恢复了这些更改。

CrowdStrike 透露，罪魁祸首是一个通道文件，其中包含传感器的数据。由于它只是传感器更新的一个组件，因此可以单独解决此类文件，而无需删除 Falcon 传感器更新。

对于已经受到影响的用户，CrowdStrike 提供了以下解决方法：

1、将 Windows 启动到安全模式或 Windows 恢复环境

（1）重启你的电脑。

（2）当您的计算机重新启动时，按 F8（或 Shift + F8）打开高级启动选项菜单。

（3）选择 Safe Mode 并按 Enter。

2、删除相关文件

（1）导航到 C:WindowsSystem32driversCrowdStrike 目录。

（2）找到匹配 "C-00000291*.sys" 的文件，并将其删除。

3、重启电脑。

CrowdStrike 的首席执行官表示他们已经发布了修复程序，并建议客户下载最新更新。

CrowdStrike 首席执行官就故障更新导致 Windows 主机崩溃一事发表评论

在更新的声明中，CrowdStrike 表示 " 有问题的文件  [  C-00000291*.sys"，时间戳为 0409 UTC  ]  已被恢复 "，其正确版本是 C-00000291*.sys， 时间戳为 0527 UTC 或更新。

该公司还提供了两种解决云和虚拟环境中该问题的选项，一种是回滚到 UTC 04:09 之前的快照。第二种选择是以下七步程序：

1. 从受影响的虚拟服务器中分离操作系统磁盘卷

2. 在继续操作之前，请创建磁盘卷的快照或备份，以防发生意外更改

3. 将卷附加 / 安装到新的虚拟服务器

4. 导航到 %WINDIR%System32driversCrowdStrike 目录

5. 找到匹配 "C-00000291*.sys" 的文件，并将其删除。

6. 从新的虚拟服务器分离卷

7. 将固定卷重新连接到受影响的虚拟服务器

对于此次微软蓝屏事件，奇安信安全专家汪列军表示：

CrowdStrike 软件更新导致 Windows 计算机瘫痪的主要原因是其核心驱动 csagent.sys 出现了 bug，导致操作系统无法正常启动，甚至出现蓝屏。这种情况与一般应用程序不同，因为安全软件的驱动操作涉及操作系统底层，一旦出现问题就会直接影响系统稳定性。

这一事件影响广泛，特别是在亚太地区（如日本）首先显现，但也在欧美等其他地区引起了不小的波及。影响范围主要集中在使用 CrowdStrike 的外企及其在中国的分支机构，以及部分国外的云计算环境，尤其是基于 Windows 的应用实例。

虽然事件影响了多个 Windows 版本，但具体影响的范围可能因技术细节而有所不同。此外，虽然有简单的修复方法，例如手动删除或重命名相关驱动文件，但由于涉及大量机器且无法集中管理，修复过程相对耗时复杂，需要逐台操作。

综上所述，这一事件显示了安全软件更新可能带来的系统性风险，尤其是对大规模部署的影响管理和应急响应能力提出了挑战。

参考及文献来源：

· https://gbhackers.com/crowdstrike-update-triggers-widespread/

· https://www.bleepingcomputer.com/news/security/crowdstrike-update-crashes-windows-systems-causes-outages-worldwide/

· 奇安信安全专家汪列军访谈解读。