El incidente de CrowdStrike de 2024 tuvo lugar el viernes 19 de julio de 2024, cuando varios sistemas informáticos en todo el mundo experimentaron una falla que provocó interrupciones en múltiples industrias diferentes luego de una actualización defectuosa del software de seguridad de terceros CrowdStrike Falcon que se ejecuta en Microsoft Windows.
Los servicios afectados incluían aerolíneas, aeropuertos, sector bancario, bolsas de valores, servicios de radiodifusión y todos aquellos que utilizaban herramientas CrowdStrike Falcon en Windows. Varios países informaron de estos cortes y los calificaron de graves. El problema se atribuyó a una actualización defectuosa de CrowdStrike Falcon. La región central de Australia, Estados Unidos y el Reino Unido se encontraron entre los países más afectados. Varias autoridades descartaron que la interrupción fuese un ciberataque y se confirmó que la causa se debió a una actualización defectuosa.
Antecedentes CrowdStrike produce un conjunto de productos de software de seguridad para empresas, diseñados para proteger las computadoras de los ciberataque s. Falcon, el agente de detección y respuesta de endpoints de CrowdStrike, trabaja a nivel del núcleo del sistema operativo en computadoras individuales para detectar y prevenir amenazas. CrowdStrike distribuye periódicamente parches a sus clientes para permitir que sus equipos puedan hacer frente a nuevas amenazas.
La propia investigación posterior al incidente de CrowdStrike identificó varios errores que llevaron al lanzamiento de una actualización de fallas en el «motor de detección de sensores de CrowdStrike»:
Los archivos de canal se validaron utilizando patrones Regex con comodines y se cargaron en una matriz en lugar de utilizar un analizador para este propósito. En el lenguaje de programación C, la longitud de las matrices debe tratarse y comprobarse por separado. Sin embargo, no se verificó la longitud antes del acceso. Se esperaba una matriz con 21 campos, pero el archivo de canal tenía un formato de datos más antiguo con solo 20 campos. En las pruebas unitarias solo se probó la ruta feliz. No se realizaron pruebas de regresión para comprobar la compatibilidad con el formato de datos anterior. En las pruebas manuales solo se probaron datos válidos. Los archivos del canal no contenían un campo de número de versión que fuera verificado. No hubo lanzamientos escalonados, sino que la actualización se distribuyó a todos los clientes simultáneamente. Ni siquiera lasinfraestructuras críticas recibieron un tratamiento especial. El software no accede al sistema de Microsoft Windows a través de una interfaz de programación de aplicaciones adecuada, sino que se ejecuta como un controlador en el anillo 0 para tener privilegios elevados en el sistema operativo. Sin embargo, un fallo en esta área provoca una pantalla azul de la muerte, que detiene el sistema operativo.
Apagón El 19 de julio a las 04:09 UTC, CrowdStrike distribuyó una actualización de configuración defectuosa para su software de sensor Falcon que se ejecuta en PC con Windows y servidores. Una modificación a un archivo de configuración que era responsable de filtrar las canalizaciones con nombre, el archivo de canal 291, provocó una lectura de memoria fuera de límites en el cliente del sensor de Windows que resultó en un fallo de página no válida. La actualización provocó que las máquinas entraran en un bucle de arranque o se iniciaran en modo de recuperación.
Casi de inmediato, las máquinas virtuales de Windows en la plataforma de nube Microsoft Azure comenzaron a reiniciarse y a fallar, y a las 06:48 UTC, Google Compute Engine también informó el problema. El problema afectó a los sistemas que ejecutan Windows 10 y Windows 11 con el software CrowdStrike Falcon. La mayoría de las PC personales con Windows no se vieron afectadas, ya que el software de CrowdStrike es utilizado principalmente por organizaciones. El software de CrowdStrike no ofrecía a los suscriptores una forma de retrasar la instalación de sus archivos de contenido. Las computadoras que ejecutan macOS y Linux no se vieron afectadas, ya que el archivo de contenido problemático era solo para Windows, pero problemas similares habían afectado a las distribuciones de Linux del software CrowdStrike en abril de 2024.
CrowdStrike revirtió la actualización de contenido a las 05:27 UTC, y los dispositivos que se iniciaron después de la reversión no se vieron afectados.
A las 07:15 UTC, Google dijo que la actualización de CrowdStrike tenía la falla. En cuestión de horas, el director ejecutivo de CrowdStrike, George Kurtz, confirmó que la actualización defectuosa del archivo de configuración del núcleo de CrowdStrike había causado el problema. A las 09:45 UTC, Kurtz confirmó que se había implementado la solución, y que el problema no era el resultado de un ciberataque.
El impacto para las empresas del centro de Estados Unidos se vio agravado por una interrupción no relacionada con Microsoft Azure el día anterior. El 18 de julio, la plataforma Azure sufrió una interrupción que bloqueó el acceso de algunas empresas a su almacenamiento y a las aplicaciones de Microsoft 365 en la región central de Estados Unidos de Azure.
Recursos Las máquinas afectadas podrían restaurarse reiniciándolas mientras están conectadas a la red; idealmente mientras están conectadas a Ethernet, brindando así la oportunidad de descargar el archivo de canal revertido, con múltiples reinicios, según se informa, siendo necesarios.
Si los fallos persistían, la solución requería reiniciar en modo a prueba de fallos o en el entorno de preinstalación de Windows y eliminar cualquier archivo .sys que comenzara con C-00000291- y con marca de tiempo 04:09 UTC en el directorio %windir% \ System32 \ drivers \CrowdStrike\ . Como este proceso debía realizarse localmente en cada máquina individual, se «esperaba que tomara días» para que las empresas afectadas restauraran todos los sistemas. El personal técnico tuvo que reiniciar los ordenadores afectados individualmente con intervención manual en cada sistema.
En los dispositivos con el cifrado de disco BitLocker de Windows habilitado, que las corporaciones suelen utilizar para aumentar la seguridad, la solución del problema se vio agravada porque las claves de recuperación numéricas de BitLocker de 48 dígitos (únicas para cada sistema) requerían una entrada manual, con desafíos adicionales para proporcionar las claves de recuperación a los usuarios finales que trabajaban de forma remota. Además, varias organizaciones que utilizan servidores locales para el almacenamiento de claves de recuperación de Bitlocker no pudieron acceder a claves que estaban almacenadas en servidores que habían dejado de funcionar.
Microsoft también ha recomendado restaurar una copia de seguridad anterior al 18 de julio para solucionar el problema.
Impacto Se experimentaron caídas de sistemas en todo el mundo. Según algunas estimaciones iniciales, el error de Crowdstrike causó problemas a aproximadamente 24000 clientes, siendo difícil determinar el número de ordenadores individuales afectados, ya que muchos de los clientes son grandes organizaciones. Al día siguiente, Microsoft estimó el número de dispositivos afectados en alrededor de 8,5 millones, cifra correspondiente a menos del 1% de dispositivos Windows a nivel mundial. Sin embargo, dado que muchos sistemas de TI en todo el mundo utilizan Windows y el software de CrowdStrike, se informaron interrupciones en múltiples sectores comerciales. En 2021, se estimó que alrededor del 47% de las empresas de la lista Fortune 500 eran clientes de CrowdStrike,que a su vez afirma en su propio sitio web que tiene casi el 60% de las empresas Fortune 500 y más de la mitad de las Fortune 1000 entre sus clientes. El sector de viajes y transporte aéreo en general se vio ampliamente afectado, cancelándose más de 1000 vuelos en todo el mundo.
Transporte aéreo miniaturadeimagen| Pasajeros varados en el Aeropuerto Internacional Ngurah Rai en Bali como resultado del colapso. En América del Norte, United, Delta y American Airlines emitieron una parada en tierra. Los vuelos en el aire seguirán volando, pero no despegarán nuevos vuelos. Allegiant Airlines también quedó en tierra debido a la interrupción, según la Administración Federal de Aviación.
Swiss International Air Lines tuvo en tierra el 30% de sus vuelos. El aeropuerto de Praga en Chequia, el aeropuerto de Budapest en Hungría y Lufthansa en Alemania experimentaron problemas. Ryanair informó que las reservas y el check-in no estaban disponibles, y sus vuelos desde el aeropuerto de Bratislava en Eslovaquia se vieron afectados. A los aviones no se les permitió aterrizar en el aeropuerto de Zúrich. Wizz Air culpó del incidente a la desconexión de sus servicios en línea. La aerolínea holandesa KLM suspendió la mayoría de sus operaciones, anunciando que el manejo de vuelos es imposible debido a este problema. El aeropuerto de Berlín-Brandeburgo tenía previsto detener los vuelos hasta las 8:00 (UTC). En Bruselas, los empleados del aeropuerto de Charleroi registraron manualmente a los pasajeros, pero otro software alivió los problemas a las 10:00 y hubo retrasos mínimos. Los aeropuertos españoles sufrieron perturbaciones.
El Aeropuerto Internacional de Hong Kong experimentó retrasos durante el check-in, principalmente para los pasajeros de la aerolínea local de bajo costo Hong Kong Express, que recurrió a que los miembros del personal usaran carteles escritos a mano para dirigir a los pasajeros a diferentes mostradores de check-in. La Autoridad Aeroportuaria de Hong Kong activó la respuesta de emergencia, después de que los sitios web de las aerolíneas y el check-in automático fallaran. Los sistemas de reserva de las aerolíneas locales Cathay Pacific, Hong Kong Express y Hong Kong Airlines no están disponibles.
Las aerolíneas Jeju Air y Spring Japanexperimentaron problemas. Jetstar Japan tuvo que cancelar varios vuelos. Algunos de los quioscos de autofacturación en el Aeropuerto Internacional de Singapur se vieron afectados, lo que retrasó y obligó a las aerolíneas a cambiar al check-in manual. Los vuelos de Cebu Pacific y Filipinas AirAsia están retrasados. Se formaron largas colas en el Aeropuerto Internacional Ninoy Aquino.
Asia
India Se están experimentando cortes en Air India, Indigo Airlines, Akasa Air, SpiceJet y Vistara. Durante la interrupción se emiten tarjetas de embarque escritas a mano. El Ministerio de Aviación Civil ha pedido y ordenado a las aerolíneas y a los aeropuertos que sean compasivos al proporcionar alimentos y asientos si es necesario.
A las 18:14 (IST), más de 200 vuelos fueron cancelados y el total de Indigo fue de 192
Las principales empresas de TI de la India, como TCS, Infosys, Oracle, Nokia y muchas otras, también se enfrentan a la interrupción, lo que genera miles de problemas planteados por empleados y dispositivos que quedan atrapados en el bucle de arranque y no pueden recuperarse.
El Equipo de Respuesta a Emergencias Informáticas de la India (CERT-In) ha emitido una calificación de gravedad de Crítico para el incidente.
Maruti Suzuki, un fabricante de automóviles de la India, informó que su producción se detuvo y recurrió inmediatamente a medidas preventivas y correctivas. También ha informado que el problema ha sido resuelto.