Weltweite Bluescreens: Microsoft bringt Tool zur Behebung des Crowdstrike-Bugs
Der Crowdstrike-Ausfall hat Kunden und Admins in den letzten Tagen viel Geduld und Zeit gekostet. Das Problem: Der Bug lässt sich zwar relativ leicht durch das Entfernen fehlerhafter Dateien beheben. Allerdings muss eine Fachkraft dazu physisch anwesend sein und das betroffene System zum Beispiel manuell im abgesicherten Modus booten. Microsoft hat nun ein Tool(öffnet im neuen Fenster) und einen Guide veröffentlicht, um diesen Prozess auf Windows-Servern und Clients etwas zu beschleunigen.
Das Tool enthält das Script "MsftRecoveryToolForCSv2.ps1" , welches innerhalb der Kommandozeile automatisch ausgeführt wird. Es löscht selbständig die fehlerhaften Dateien im Ordner "%WINDIR%\System32\drivers\CrowdStrike" . Die Dateien sind laut Crowdstrike(öffnet im neuen Fenster) durch ihre Namen "C-00000291.sys" und ihren Zeitstempel 2024-07-19 UTC erkennbar. Microsoft hat das Tool laut eigenen Aussagen signieren lassen.
Allerdings müssen Admins weiterhin vor Ort sein. Das Tool lässt sich auf diversen Bootmedien kopieren. Microsoft empfiehlt WinPE, das von einem eingesteckten Installationsmedium wie einem USB-Stick oder einer DVD bootet und ohne lokale Adminrechte Zugriff auf die Systemdatei erlaubt. Allerdings sollten Admins Kryptoschlüssel bereithalten, wenn das Laufwerk per Bitlocker oder in anderer Form verschlüsselt ist.
WinPE oder Safe Mode
Alternativ kann Windows im abgesicherten Modus und so mit nur wenigen systemrelevanten Treibern gestartet werden. Der Falcon-Sensor, der selbst wie ein Treiber mit Kernel-Zugriff funktioniert, wird hier nicht mitgestartet, so dass die davon ausgelöste Bootschleife umgangen wird. Außerdem lassen sich virtuelle Maschinen mit dem Tool reparieren. Microsoft beschreibt das im Tutorial für den eigenen Hyper-V-Dienst. Dazu wird innerhalb der VM-Software ein DVD-Laufwerk als SCSI-Controller hinzugefügt, welches anschließend das Booten von WinPE als ISO zulässt.
Microsoft hat eine vollständige Schritt-für-Schritt-Anleitung im Blog-Post veröffentlicht(öffnet im neuen Fenster) . Dort kann auch das Tool heruntergeladen werden. Einige User in der Kommentarsektion entdeckten allerdings bereits Fehler. Das Tool funktioniert also eventuell nicht überall und manuelle Arbeit ist dann erneut gefragt.