黑天鹅出没！微软突发蓝屏派对 ，系统崩溃陷入混乱

7月19日,微软在全球多地出现“蓝屏故障”,大量用户无法正常操作系统,其中不少出现了“csagent.sys”错误。其原因是美国网络安全服务提供商CrowdStrike更新错误所致。该事件影响到了世界各地的各种组织和服务，包括机场、电视台和医院等大型企业。

事发当天，大量用户反馈在安装 CrowdStrike Falcon Sensor 的最新更新后，Windows 主机陷入启动循环或显示蓝屏死机 (BSOD)。

该安全供应商承认了该问题，并发布了技术警报，解释称其工程师“发现了与此问题相关的内容部署并撤销了这些更改”。

CrowdStrike 的工程团队迅速应对了这一危机。根据该公司论坛上的一个置顶帖，该团队已确定与该问题相关的内容部署并恢复了这些更改。

CrowdStrike透露，罪魁祸首是一个通道文件，其中包含传感器的数据。由于它只是传感器更新的一个组件，因此可以单独解决此类文件，而无需删除 Falcon 传感器更新。

对于已经受到影响的用户，CrowdStrike 提供了以下解决方法：

1、将 Windows 启动到安全模式或 Windows 恢复环境

（1）重启你的电脑。

（2）当您的计算机重新启动时，按F8（或Shift + F8）打开高级启动选项菜单。

（3）选择Safe Mode并按 Enter。

2、删除相关文件

（1）导航到 C:WindowsSystem32driversCrowdStrike 目录。

（2）找到匹配“C-00000291*.sys”的文件，并将其删除。

3、重启电脑。

CrowdStrike 的首席执行官表示他们已经发布了修复程序，并建议客户下载最新更新。

CrowdStrike 首席执行官就故障更新导致 Windows 主机崩溃一事发表评论

在更新的声明中，CrowdStrike 表示“有问题的文件 [ C-00000291*.sys”，时间戳为 0409 UTC ] 已被恢复”，其正确版本是 C-00000291*.sys， 时间戳为 0527 UTC 或更新。

该公司还提供了两种解决云和虚拟环境中该问题的选项，一种是回滚到 UTC 04:09 之前的快照。第二种选择是以下七步程序：

1.从受影响的虚拟服务器中分离操作系统磁盘卷

2.在继续操作之前，请创建磁盘卷的快照或备份，以防发生意外更改

3.将卷附加/安装到新的虚拟服务器

4.导航到 %WINDIR%System32driversCrowdStrike 目录

5.找到匹配“C-00000291*.sys”的文件，并将其删除。

6.从新的虚拟服务器分离卷

7.将固定卷重新连接到受影响的虚拟服务器

对于此次微软蓝屏事件，奇安信安全专家汪列军表示：

参考及文献来源：

·https://gbhackers.com/crowdstrike-update-triggers-widespread/

·https://www.bleepingcomputer.com/news/security/crowdstrike-update-crashes-windows-systems-causes-outages-worldwide/

·奇安信安全专家汪列军解读。