In de steeds digitaler wordende wereld zijn IT-systemen de ruggengraat van vele organisaties. Wanneer deze systemen falen, kan dat verstrekkende gevolgen hebben. Op een willekeurige dag in juli 2024 werden we opnieuw geconfronteerd met de kwetsbaarheid van deze systemen toen een grote IT-storing diverse sectoren trof. In deze blogpost bespreken we de details van de storing, de gevolgen en de lessen die we hieruit kunnen trekken.
Wat Gebeurde Er?
Op 17 juli 2024 werd een grootschalige IT-storing gerapporteerd die begon rond 09:00 uur ‘s ochtends. De storing had invloed op verschillende sectoren, waaronder financiële diensten, gezondheidszorg, transport en overheidssystemen. Gebruikers rapporteerden problemen met het inloggen, trage of niet-ladende systemen en volledig uitgevallen services.
Oorzaak?
Een simpele content-update van strikecrowd!
Wie, welke bedrijven zijn geïmpacteerd?
De gevolgen van de storing waren onmiddellijk en wijdverspreid. Hieronder enkele van de meest significante gevolgen:
- Bedrijven: Vele bedrijven ondervonden onderbrekingen in hun dagelijkse operaties, wat leidde tot verloren productiviteit en inkomsten. Veel bedrijven moesten overschakelen op noodprocedures of volledig stoppen met hun activiteiten totdat de storing was verholpen.
- Gezondheidszorg: In ziekenhuizen en klinieken werden elektronische patiëntendossiers en andere kritieke systemen ontoegankelijk, wat leidde tot vertragingen in de zorgverlening en verhoogde stress voor het medisch personeel.
- Transport: Reizigers ondervonden vertragingen en annuleringen omdat vervoersbedrijven hun systemen niet konden gebruiken voor het beheren van vluchten, treinen en bussen.
- Overheidsdiensten: Veel overheidsdiensten waren tijdelijk niet beschikbaar, wat leidde tot frustratie bij burgers die afhankelijk zijn van deze diensten voor hun dagelijkse behoeften.
Conclusie?
Simpele patch management met een OTAP/DTAP straat kon dit volledig vermijden.
Een testgroep of testomgeving is geen kost maar een investering!
Daarom staat Enter Consult altijd klaar om u te helpen bij uw patch management.
Oplossingen voor Azure virtual machines
- Using the Azure Portal – attempting ‘Restart’ on affected VMs
- Using the Azure CLI or Azure Shell (https://shell.azure.com)
Additional options for recovery:
We recommend customers that are able to, to restore from a backup from before 19:00 UTC on the 18th of July.
- Customers leveraging Azure Backup can follow the following instructions:
How to restore Azure VM data in Azure portal
- Alternatively, customers can attempt to repair the OS disk offline by following these instructions:
Attach an unmanaged disk to a VM for offline repair
- Disks that are encrypted may need these additional instructions:
Unlocking an encrypted disk for offline repair
Once the disk is attached, customers can attempt to delete the following file.
Windows/System/System32/Drivers/CrowdStrike/C00000291*.sys
The disk can then be attached and re-attached to the original VM.
Oplossingen voor desktop/laptops
- Boot Windows into Safe Mode or WRE.
- Go to C:\Windows\System32\drivers\CrowdStrike.
- Locate and delete file matching “C-00000291*.sys”
- Boot as usual