CrowdStrike e Microsoft al centro del più grande incidente digitale globale

Intorno alle due di mattina, ora italiana, i computer di molti aeroporti, servizi di trasporto e banche (e non solo) sono stati colpiti dal famigerato “schermo blu della morte”. Non si tratta, fortunatamente, di un attacco informatico, bensì di un incidente causato da un aggiornamento, rilasciato da CrowdStrike, non andato a buon fine, e di disservizi di Microsoft Azure.

L’aggiornamento incriminato riguarda il software di sicurezza Falcon Sensor, una soluzione per la protezione di sistemi mission-critical. Una volta installato, l’aggiornamento impedisce ai computer con sistema operativo Windows 8 e superiore di terminare la loro procedura di boot, rendendoli inutilizzabili.

La sera prima del rilascio dell’aggiornamento, inoltre, la piattaforma cloud Microsoft Azure ha subito varie interruzioni di servizio, bloccando l’accesso ai servizi di storage e alle applicazioni Microsoft 365. Situazione peggiorata dall’incidente di CrowdStrike, che ha messo offline centinaia di macchine virtuali Windows residenti su Azure.

“Crowdstrike sta collaborando attivamente con i client colpiti da un difetto riscontrato in un singolo aggiornamento dei contenuti per gli host Windows“, ha scritto su X George Kurtz, CEO dell’azienda. “Gli host Mac e Linux non sono interessati. Non si tratta di un incidente di sicurezza o di un cyberattacco. Il problema è stato identificato, isolato ed è stata distribuita ora una correzione“.

L’impatto dell’incidente

Dato che molti sistemi IT utilizzano Windows e il software di CrowdStrike (il 60% delle compagnie Fortune 500, stando ai dati dell’azienda), l’incidente ha causato disagi in tutto il mondo. I costi dell’interruzione non sono ancora ben noti, ma si stima siano intorno ai 24 miliardi di dollari.

Uno dei settori più colpiti è quello dei trasporti aerei, che visto la cancellazione di centinaia di voli. In Nord America, le compagnie aeree Delta, United e American Airlines negli Stati Uniti e Porter Airlines in Canada hanno ordinato il fermo dei velivoli. Invece, in Europa, gli aeroporti di Praga, Budapest, Zurigo, Berlino e Parigi hanno riscontrato problemi relativi alle procedure di check in, costringendo molte compagnie aeree a emettere biglietti manualmente. Infine, in Asia, una sorte simile è toccata agli aeroporti di Hong Kong, Singapore e Manila.

L’aggiornamento ha messo in ginocchio molti ospedali e servizi sanitari nazionali, come NHS in Inghilterra e FPS Public Health in Belgio. Seguono banche, come la State Bank of India, e i media, come Sky News e BBC. Non si sono salvate nemmeno le Olimpiadi: gli organizzatori stanno infatti avendo problemi nel gestire l’arrivo degli atleti nell’appena aperto Villaggio Olimpico.

Nonostante il devastante impatto globale dell’incidente, le entità italiane non sembrano esserne state affette.

Dettagli tecnici e possibili soluzioni

La causa dell’errore nell’aggiornamento è attribuibile all’inclusione di uno specifico driver (software di basso livello utilizzato dal sistema operativo per comunicare con l’hardware), “csagent.sys”, in grado di comunicare direttamente con il sistema operativo. Il driver malfunzionante impedisce al computer affetto di completare la sua procedura di boot (ossia di lanciare il sistema operativo), mandando quindi a schermo il messaggio di errore “PAGE_FAULT_IN_NONPAGED_AREA”. Il messaggio indica un problema nella gestione della memoria, causato appunto dal driver.

La causa del blackout di Azure, invece, è stata il cambio di configurazione di alcuni processi backend, che hanno bloccato l’accesso tra cluster Azure Storage.

Per ovviare al problema causato dall’aggiornamento, Microsoft consiglia di ripristinare backup precedenti l’incidente, oppure di continuare a riavviare i computer affetti fino alla risoluzione spontanea del problema.

CrowdStrike, invece, consiglia di aggirare il problema avviando Windows in Safe Mode o in Windows Recovery Environment, navigare nella cartella “%WINDIR%\System32\drivers\CrowdStrike”, individuare il file corrispondente a “C-00000291*.sys” (il componente che causa l’errore) e cancellarlo.

Per maggiori informazioni, vi invitiamo a leggere il blog post ufficiale di CrowdStrike.