Мащабен срив на Windows парализира банки, държавни институции, авиокомпании и други

Мащабен софтуерен срив е засегнал хиляди компютри базирани на Windows по света. Той обхваща голямо количество корпоративни клиенти, което парализира банки, държавни институции, авиокомпании, медии и много други. Засегнатите машини показват печално известния като „синия екран на смъртта“ – критична системна грешка в операционната система.

Причината за нея се крие в ъпдейт от голямата фирма за киберсигурност CrowdStrike. Тя се използва като основен доставчик на подобни решения от редица институции и значими бизнеси за защита на техните компютри и сървъри от подобни хакерски атаки.

Разпространение по целия свят

Първите сигнали дойдоха официално от Австралия в малките часове на 19 юли българско време. Банки, авиокомпании и телевизионни медии съобщиха, че хиляди техни компютри и сървъри не работят. Проблемът бързо се разпростря в САЩ и Европа. Британската телевизия Sky News спря да излъчва повече от час „поради технически причини“. Редица центрове за спешна помощ (номер 911) в щата Аляска не функционират, заради проблеми с компютрите.

Полетите на основните американски авиопревозвачи Delta, American Airlines и United бяха спрени, поради „комуникационни проблеми“. Това става след като авиационният регулатор на САЩ FDA забрани излитанията, докато не бъдат отстранени компютърните проблеми. Един от най-големите нискотарифни авиокомпании – Ryanair обяви, че поради „IT проблеми с подизпълнител“ има забавяне в полетите ѝ. Летището в Берлин също предупреди за забавяния на полетите, поради „технически затруднения“.

Стотици фирми се оплакват в интернет форуми, че корпоративните компютри и сървъри не работят. От Microsoft обявиха, че има проблеми с част от техните облачни услуги и приложения, които са част от пакета Microsoft 365 и работят по въпроса. Засегнати са и елементи от корпоративната облачна платформа Azure на гиганта.

В България за момента няма официални потвърждения за засегнати компютри и сървъри от атаката. Но мобилните приложения за онлайн банкиране на някои финансови институции в момента не функционират.

Първоизточникът и как да се поправи

Мащабният срив идва от фирмата за киберсигурност CyberStrike. Компанията прави ъпдейт на своите решения, който води до срив в машините под Windows 10. Компанията е премахнала въпросното обновяване, но това не помага на вече засегнатите машини. Проблемът е открит в 8:20 часа сутринта българско време.

Изданието Windows Latest предлага начин как да се поправи проблема. „Синият екран на смъртта“ дава следната грешка - It looks like Windows didn’t load correctly“ и опция само за рестартиране. При осъществяване на такова той се появява наново. Според изданието има три метода:

Първи метод – използване на Safe Mode и ръчно изтриване на проблемните файлове

1. Трябва да пуснете компютъра в Safe Mode. Ако сте на Recovery Screen, давате на See advanced repair options. Там посочвате Troubleshoot и след това пак Advanced Options. Избирате Startup Settings и давате Restart. Докато се рестартира компютъра натискате 4 или F4, за да премине компютъра в Safe Mode. Алтернативно при рестарт можете да влезете в BIOS-а с натискане на Delete или F8 и оттам да изберете Safe Mode от Advanced Menu.
2. Вече влезли в Safe Mode отваряте командния панел Command Prompt или Windows PowerShell.
3. Там написвате следния адрес, за да стигнете до директорията с файловете на CrowdStruke: cd C:WindowsSystem32driversCrowdStrike
   Проблемният файл съвпада с поредицата C-00000291*.sys.
4. Първо задавате команда да намери тази поредица в директорията: dir C-00000291*.sys.
5. Например, той може да се казва нещо от сорта на C-00000291abc.sys.
6. Когато го намерите, след това го изтривате с командата: del C-00000291.sys (плюс съответното разширение преди .sys)

Втори метод: преименуване на директорията на CrowdStrike

1. Отново влизате в Safe Mode и след това отваряте командния панел, като следвате инструкциите в първия метод от т.1 и т.2
2. В командния панел този път влизате в директорията с драйверите: cd windowssystem32drivers
3. За да преименувате директорията CrowdStrike използвайте следната команда: ren CrowdStrike CrowdStrike_old

Трети метод: блокиране на CSAgent-а през регистрите:

1. Отново влизате в Safe Mode като следвате т.1 от първия метод.
2. Този път отваряте Windows Registry Editor (с комбинацията Win+R).
3. Там трябва да достигнете до следното място: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCSAgent
4. Като посочите ключа на CSAgent, намерете Start entry в десния панел.
5. С двоен клик отворете и променете стойността от 1 на 4. Така, той няма да се включва по подразбиране и ще бъде деактивиран.