Venerdì 19 luglio, alle 6:09 ora italiana, CrowdStrike ha distribuito un aggiornamento di contenuto per il suo sensore di sicurezza Falcon su Windows. Un errore in quel file ha mandato in crash i computer che lo hanno ricevuto, con la classica schermata blu e riavvii continui. Aeroporti, compagnie aeree, banche, ospedali, televisioni e negozi di tutto il mondo si sono fermati. Microsoft stima circa 8,5 milioni di dispositivi coinvolti, meno dell’1% delle macchine Windows, ma concentrati proprio nelle aziende che contano.
Non è un attacco informatico. Il file difettoso, il «channel file 291», contiene regole di rilevamento che il sensore carica a livello del kernel; un errore logico ha provocato il crash del sistema operativo. CrowdStrike ha ritirato il file dopo circa 78 minuti, ma i computer che lo avevano già scaricato non riuscivano più ad avviarsi. Mac e Linux non sono coinvolti. Come un file del genere abbia superato i controlli prima della distribuzione, l’azienda non l’ha ancora spiegato.
Macchina per macchina
Nella maggior parte dei casi la soluzione è manuale: avviare il computer in modalità provvisoria o nell’ambiente di ripristino di Windows, cancellare il file difettoso e riavviare. Sulle macchine cifrate con BitLocker bisogna prima inserire la chiave di ripristino, una stringa di 48 cifre che molti non sapevano dove trovare. Moltiplicato per migliaia di postazioni e server, spesso in sedi diverse, sono giorni di lavoro.
E dove c’è caos arrivano i truffatori. Sono già comparsi domini che imitano CrowdStrike, email di phishing che offrono «correzioni» e falsi script di ripristino con dentro malware. Le uniche istruzioni affidabili sono quelle pubblicate da CrowdStrike e da Microsoft.
Se devi ancora ripristinare delle macchine, cancella i file C-00000291*.sys nella cartella C:\Windows\System32\drivers\CrowdStrike e riavvia, oppure usa lo strumento di ripristino pubblicato da Microsoft. Assicurati che le chiavi BitLocker siano raggiungibili anche quando i sistemi di gestione sono fermi: in molte aziende stavano su server bloccati dallo stesso problema.
Poi, a mente fredda, chiedi ai tuoi fornitori di sicurezza come distribuiscono gli aggiornamenti e se puoi riceverli prima su un gruppo ristretto di macchine. Nel piano di continuità, accanto all’attacco, metti anche il guasto di massa causato da un fornitore fidato.
