絕了，外媒剛剛發現：這次造成微軟藍色畫面災難的CrowdStrike CEO，在Windows XP時代就曾搞崩過全球的裝置。同樣是一次更新，同樣讓裝置斷網，同樣要人工修復。兩次導致全球IT災難，此君可以「名垂青史」了。

微軟全球藍色畫面事件，破案了！

一個由「C-00000291*.sys」組態檔案觸發的系統邏輯錯誤，瞬間就破壞掉全世界約10億台電腦，並在隨後引發所有的二階、三階效應。

就如AI大神Karpathy所言，技術領域還存在著的單點瞬時故障，都將對人類社會造成巨大隱患。

而這次造成全球TI災難的始作俑者、CrowdStrike CEO，竟被外媒扒出已有前科——

2010年在McAfee用一個更新搞崩全球裝置的，竟然也是他！

故障發生的第一時間，就有網友向大家發出警告——停止所有CrowdStrike更新！停止所有CrowdStrike更新！

對於事件起因，Objective-See基金會創始人Patrick Wardle也在第一時間就做了一番詳細調查。

首先，他查看了故障位置——mov r9d，[r8]。其中R8屬於未對應的地址。

這個位置取自指針陣列（保存在RAX中），索引RDX（0x14 * 0x8）保存了一個無效的記憶體地址。

其他的「驅動程式」（例如「C-00000291-...32.sys」）似乎是混淆的資料，並且被「CSAgent.sys」進行了x-ref'd操作。

因此，或許是這種無效（組態/簽名）的資料，觸發了CSAgent.sys中的故障。

通過偵錯，可以更容易地判斷這一點。

顯然，事故中最重要的懸而未決的問題就是，這個「C-00000291-...xxx.sys」檔案究竟是什麼？

CSAgent.sys一旦引用它們，就立馬崩潰了；而只要刪除它們，就可以修復崩潰。

在VT上，他還對CSAgent.sys以及來自單個故障轉儲的資料進行了逆向分析。

最後，Wardle分享出了CSAgent.sys的幾個版本（+idb），以及各種「C-....sys」檔案（包括他認為已經包含了「修復」的最新檔案）。

他表示，由於自己沒有任何Windows系統或虛擬機器，所以希望網友們能繼續挖掘。

就在昨天，惡意軟體專家Malware Utkonos有了更多細節的發現——

37c78ba2eac468941a80f4e12aa390a00cb22337fbf87a94c59cee05473d1c66這個地址處，似乎有一個針對0xaaaaaaaa的檔案魔法檢查。

這個模式，也是「通道檔案」（Channel Files）的前四個位元組。全部為NULL的檔案，就可能會導致該cmp失敗。

可以看到，rcx中與0xaaaaaaaa進行比較的值，由ExAllocatePoolWithTagPriority分配在頂部。那裡正是接收ZwReadFile讀取的資料的緩衝區。

這個值會在之後用cmp傳遞給函數（Utkonos在圖中將這些函數命名為內部的wdm.h函數呼叫）。

通過合理性檢查可發現：0xaaaaaaaa位元組模式僅在此處檢查的「通道檔案」偏移0處出現過一次。

可以看到，只有0xaaaaaaaa看起來不同。

很快，CrowdStrike在官博放出的解釋，對於網友們疑惑的問題進行了澄清——

2024年7月19日04:09 UTC，CrowdStrike在持續營運中向Windows系統發佈了一次感測器組態更新，這也是Falcon平台保護機制的一部分。

這次組態更新觸發了一個邏輯錯誤，導致受影響的系統出現崩潰和藍色畫面（BSOD）。

導致系統崩潰的更新已於2024年7月19日05:27 UTC得到修復。

報告地址：https://www.crowdstrike.com/blog/falcon-update-for-windows-hosts-technical-details/

在Windows系統中，通道檔案位於以下目錄：C:\Windows\System32\drivers\CrowdStrike\，並且檔案名稱以「C-」開頭。每個通道檔案都有一個唯一編號作為標識。

此次事件中受影響的通道檔案為291，檔案名稱以「C-00000291-」開頭，以.sys擴展名結尾。雖然通道檔案以SYS擴展名結尾，但它們不是核心驅動程式.

通道檔案291會影響Falcon如何評估Windows系統上的命名管道執行。這些命名管道用於Windows中正常處理程序間或系統間通訊的機制。

週五的更新，本意是針對網路攻擊中常見的C2框架中所使用的新發現的惡意命名管道，但實際上卻觸發了系統的邏輯錯誤，導致崩潰。

不過，這與通道檔案291或任何其他通道檔案中的空位元組問題無關。

要想恢復，就必須在安全模式下啟動機器，並且以本地管理員身份登錄並刪除內容——這是不可能自動化的。

因此，這次癱瘓的打擊面才會這麼大，並且難以恢復。

雖然CrowdStrike承認了自己的錯誤，並在週五發佈了道歉聲明和解決方案。

但他們尚未解釋清楚，這個破壞性的更新是如何在未經過測試和其他安全措施的情況下發佈的。

自然，眾多批評的聲音開始集中到事件的核心人物：CrowdStrike的首席執行官George Kurtz。

科技行業分析師Anshel Sag指出，這已經不是庫爾茨第一次在重大IT事件中扮演重要角色了。

2010年4月21日，防毒軟體McAfee發佈了一次面向企業客戶的軟體更新。

獲得更新後的軟體會刪除一個Windows系統的關鍵檔案，導致全球數百萬台電腦崩潰並反覆重啟。

和CrowdStrike的錯誤類似，McAfee的問題也需要手動修復（裝置斷網離線）。

而Kurtz，正是當時McAfee的首席技術官。

2012年，Kurtz創立了CrowdStrike，並一直擔任首席執行官至今。

19日下午，「微軟藍畫面」登上微博熱搜，不少網友表示「感謝微軟提早放假」…

不少網友稱自己的電腦下午藍畫面了，無法工作，還有網友表示，「謝謝微軟送來的半天假」。

據券商中國引用華爾街日報消息，微軟報告其Microsoft 365應用和服務出現服務中斷，影響了全球的企業和使用者。

7月19日早上，Microsoft 365 Status在X上表示，正在調查影響使用者存取各種Microsoft 365應用和服務的問題。

根據微軟官方消息，故障始於美國中部的Azure區域資料中心，目前微軟的策略是將流量路由到其他未受影響的區域嘗試恢復。該公司還表示，隨著問題不斷緩解，其觀察到服務可用性呈現積極趨勢。

據證券時報報導，有媒體記者以使用者身份諮詢時，微軟支援中心客服人員表示，對於電腦出現批次藍色畫面的情況，目前理解到大部分藍色畫面都是公司電腦安裝了三方防毒軟件之後出現的，目前確認到是相關的防毒軟件更新導致的藍色畫面，這種情況如果修改驅動檔案名稱無效，只能建議聯絡公司IT進一步處理。

班機停飛，有電視台停播，銀行、倫敦交易所也被波及

據大灣區之聲19日報導，由於微軟系統出現大面積故障，香港國際機場的自助登機設施受到影響，航空公司須改用人工辦理登機手續。香港國際機場表示，目前航班營運暫時未受影響，已啟動緊急應變機制，建議旅客在航班出發前三小時抵達機場，辦理登機手續。

據證券時報報導，美國聯邦航空管理局空中交通管制系統指揮中心表示，美國聯合航空、美國航空和達美航空已對所有航班發出地面停飛指令。

美國交通部長皮特·布蒂吉格表示，交通部正在監控邊疆航空的航班取消和延誤問題，並補充說，交通部將要求該公司和所有其他航空公司「履行責任，滿足乘客的需求」。

據央視新聞19日報導，西日本旅客鐵道公司（JR西日本）列車行駛位置資訊因Windows系統故障導致無法取得，大阪環球影城結賬系統無法運作。廉價航空公司捷星日本也受到系統故障影響。此外，新西蘭的銀行支付和網上銀行業務也受到影響。

日本東京時間19日13時30分左右開始，日本地區運行微軟視窗（Windows）操作系統的電腦陸續開始出現訪問異常問題。據美國微軟日本子公司確認，安裝了美國網路安全企業「群集打擊」（CrowdStrike）軟件的電腦上出現了該問題。

此外，經營倫敦證券交易所的倫敦證券交易所集團(LSE Group) 當天也表示遇到了一個全球性的技術問題，導致新聞無法發布。英國天空新聞台無法直播電視節目，並向觀眾道歉。

根據每日經濟新聞報導，目前看來，這次故障在澳洲造成的影響尤為嚴重，當地銀行Suncorp、NAB、Bendigo Bank和Commonwealth Bank均受到了影響。澳洲廣播公司SBS、Network 10、ABC和Sky News Australia無法在當天下午播放原定的節目。

據報導，網路安全軟件公司CrowdStrike(CRWD.O)在其支援平台發布消息稱，該公司收到大量關於Windows電腦出現藍色畫面的報告，公司工程部已確定該問題與「內容部署(content deployment )」有關，

目前已恢復了這些變更。建議受影響的使用者將電腦啟動到安全模式或恢復環境，導航至C:WindowsSystem32driversCrowdStrike目錄，找到與「C-00000291*.sys」相符的檔案並將其刪除，即可正常啟動電腦。

截至發稿，CrowdStrike美股盤前跌超19%，微軟跌超3%。

#更新災情 你可以在這裡找到鉅亨號中所有使用「更新災情」為關鍵字所發布的內容