El 19 de julio de 2024, la empresa de ciberseguridad CrowdStrike distribuyó una actualización de configuración rutinaria para su software de sensor Falcon, que se ejecuta en lo profundo de Windows, a nivel del kernel, en máquinas corporativas. La actualización modificó un archivo —el Archivo de Canal 291, encargado de filtrar canalizaciones con nombre— que contenía un defecto que provocaba una lectura de memoria fuera de los límites. En lugar de fallar de forma controlada, el sensor desencadenó un fallo de página no válido que hizo que Windows se bloqueara con una pantalla azul de la muerte y entrara en un bucle de arranque.
Como el sensor Falcon se ejecuta con privilegios elevados en tantos sistemas corporativos, el fallo se propagó casi al instante. Microsoft estimó posteriormente que se vieron afectados unos 8,5 millones de dispositivos Windows, menos del uno por ciento de todas las máquinas Windows, pero una proporción enorme de las que sostienen empresas. Las aerolíneas dejaron en tierra miles de vuelos, los hospitales volvieron al papel y bancos, cadenas de televisión, comercios minoristas y servicios gubernamentales cayeron en todo el mundo. CrowdStrike tenía más de 24.000 clientes, incluido aproximadamente el 60 % de las empresas del Fortune 500.
CrowdStrike revirtió el archivo defectuoso en aproximadamente una hora, y el consejero delegado George Kurtz confirmó que se trató de un accidente, no de un ataque. Pero las máquinas que ya se habían bloqueado no podían descargar la corrección automáticamente: el personal de TI tuvo que reiniciar cada una en modo seguro y eliminar manualmente el archivo defectuoso, un proceso que se complicaba aún más en las máquinas que usaban el cifrado de disco BitLocker. La recuperación completa llevó días. Los daños económicos mundiales se estimaron en miles de millones de dólares, lo que lo convierte en la mayor caída en la historia de la tecnología de la información.
Revirtió el archivo en una hora, pero las máquinas bloqueadas necesitaron correcciones manuales en modo seguro, por lo que la recuperación llevó días y las pérdidas superaron los 5000 millones de dólares.
La actualización de contenido no se validó adecuadamente antes de enviarse a toda la base instalada a la vez, sin un despliegue gradual ni piloto.
El sensor se ejecuta a nivel del kernel, por lo que un error en él bloqueó todo el sistema operativo en lugar de quedar contenido.
El software de CrowdStrike no daba a los clientes forma de retrasar ni escalonar las actualizaciones de contenido, así que todas las máquinas recibieron el archivo defectuoso de inmediato.
La recuperación requería intervención manual máquina por máquina, por lo que la caída se prolongó mucho después de que existiera la corrección.
El software que se ejecuta en el kernel puede tumbar la máquina que protege. Conviene desplegar primero a un pequeño grupo piloto, validar las actualizaciones de contenido como si fueran código y hacer que una actualización defectuosa falle de forma segura, no fatal.
CrowdStrike se disculpó, compensó a los clientes afectados y renovó por completo la forma en que prueba y escalona las actualizaciones de contenido, añadiendo anillos piloto y control del cliente sobre el momento del despliegue. El incidente reavivó el debate sobre la fragilidad de permitir que un único producto de seguridad a nivel del kernel se ejecute en la infraestructura crítica mundial, y sobre la decisión de Microsoft de conceder a ese software acceso profundo al kernel en Windows. Delta Air Lines, una de las más afectadas, declaró pérdidas de cientos de millones de dólares. «La caída de CrowdStrike» se convirtió en sinónimo de cómo una sola actualización defectuosa puede detener el mundo.
CONSULTA LAS PRUEBAS
Las fuentes
- CrowdStrike — Channel File 291 Incident Root Cause Analysis (August 2024) crowdstrike.com
- 2024 CrowdStrike incident — Wikipedia en.wikipedia.org