管理系统开发价格 两次全球蓝屏，罪魁竟是兼并东说念主？14年后，灭霸CEO再酿IT熬煎
新智元报说念 管理系统开发价格
剪辑：Aeneas 好困
【新智元导读】绝了，外媒刚刚发现：这次变成蓝屏熬煎的CrowdStrike CEO，在Windows XP时期就曾搞崩过全球的开拓。雷同是一次更新，雷同让开拓断网，雷同要东说念主工建造。两次导致全球IT熬煎，此君不错「名弘扬史」了。
微软全球蓝屏事件，破案了！
一个由「C-00000291*.sys」成立文献触发的系统逻辑诞妄，须臾就毁坏掉全寰宇约10亿台计较机，并在随后激勉总共的二阶、三阶效应。
就如AI大神Karpathy所言，时间范畴还存在着的单点瞬时故障，都将对东说念主类社会变成强劲隐患。
而这次变周详球TI熬煎的始作俑者、CrowdStrike CEO，竟被外媒扒出已有前科——
2010年在McAfee用一个更新搞崩全球开拓的，确凿亦然他！
逻辑诞妄，触发全球大崩溃
故障发生的第一时辰，就有网友向大众发出劝诫——住手总共CrowdStrike更新！住手总共CrowdStrike更新！
关于事件缘由，Objective-See基金会创举东说念主Patrick Wardle也在第一时辰就作念了一番详备走访。
率先，他检讨了故障位置——mov r9d，[r8]。其中R8属于未映射的地址。
这个位置取自指针数组（保存在RAX中），索引RDX（0x14 * 0x8）保存了一个无效的内存地址。
其他的「驱动设施」（举例「C-00000291-...32.sys」）似乎是欺侮的数据，况且被「CSAgent.sys」进行了x-ref'd操作。
因此，约略是这种无效（成立/签名）的数据，触发了CSAgent.sys中的故障。
通过调试，不错更容易地判断这少许。
显然，事故中最进军的悬而未决的问题就是，这个「C-00000291-...xxx.sys」文献究竟是什么？
CSAgent.sys一朝援用它们，就立马崩溃了；而只须删除它们，就不错建造崩溃。
在VT上，他还对CSAgent.sys以及来自单个故障转储的数据进行了逆向分析。
临了，Wardle共享出了CSAgent.sys的几个版块（+idb），以及各式「C-....sys」文献（包括他以为也曾包含了「建造」的最新文献）。
他示意，由于我方莫得任何Windows系统或假造机，是以但愿网友们能陆续挖掘。
就在昨天，坏心软件人人Malware Utkonos有了更多细节的发现——
37c78ba2eac468941a80f4e12aa390a00cb22337fbf87a94c59cee05473d1c66这个地址处，似乎有一个针对0xaaaaaaaa的文献魔法查验。
这个样式，亦然「通说念文献」（Channel Files）的前四个字节。一起为NULL的文献，就可能会导致该cmp失败。
不错看到，rcx中与0xaaaaaaaa进行比拟的值，由ExAllocatePoolWithTagPriority分拨在顶部。何处恰是罗致ZwReadFile读取的数据的缓冲区。
这个值会在之后用cmp传递给函数（Utkonos在图中将这些函数定名为里面的wdm.h函数调用）。
通过合感性查验可发现：0xaaaaaaaa字节样式仅在此处查验的「通说念文献」偏移0处出现过一次。
以下就是实行肖似cmp的地址。
不错看到，唯独0xaaaaaaaa看起来不同。
CrowdStrike官方评释
四区分析：上期奖号四区比为2：7：4：7，其中一区较冷，二、四区较热，最近10期开奖中第三区号码表现活跃，第二区号码走势较冷，本期看好第四区号码热出，预计第一区号码走冷，关注四区比3：6：4：7。
龙头分析：历史同期第182期龙头分别开出号码：01→02→01，龙头开出比较密集，去年同期龙头号码下降了1个点位，对比去年龙头，今年第182期看好龙头转向上升，关注号码03。
很快，CrowdStrike在官博放出的评释，关于网友们狐疑的问题进行了贯通——
2024年7月19日04:09 UTC，CrowdStrike在执续运营中向Windows系统发布了一次传感器成立更新，这亦然Falcon平台保护机制的一部分。 这次成立更新触发了一个逻辑诞妄，导致受影响的系统出现崩溃和蓝屏（BSOD）。 导致系统崩溃的更新已于2024年7月19日05:27 UTC得到建造。
论述地址：https://www.crowdstrike.com/blog/falcon-update-for-windows-hosts-technical-details/
其中时间细节如下——
在Windows系统中，通说念文献位于以下目次：C:\\Windows\\System32\\drivers\\CrowdStrike\\，况且文献名以「C-」发轫。每个通说念文献都有一个唯独编号看成象征。
这次事件中受影响的通说念文献为291，文献名以「C-00000291-」发轫，以.sys膨胀名收尾。天然通说念文献以SYS膨胀名收尾，但它们不是内核驱动设施.
通说念文献291会影响Falcon怎么评估Windows系统上的定名管说念实行。这些定名管说念用于Windows中平素进度间或系统间通讯的机制。
周五的更新，本意是针对网罗袭击中常见的C2框架中所使用的新发现的坏心定名管说念，但内容上却触发了系统的逻辑诞妄，导致崩溃。
不外，这与通说念文献291或任何其他通说念文献中的空字节问题无关。
此事已被网友用Suno作念成歌曲
要思复原，就必须在安全样式下启动机器，况且以腹地治理员身份登录并删除内容——这是不可能自动化的。
因此，这次瘫痪的打击面才会这样大，况且难以复原。
前次亦然他
天然CrowdStrike承认了我方的诞妄，并在周五发布了说念歉声明和处分有谋略。
但他们尚未评释了了，这个毁坏性的更新是如安在未进程测试和其他安全设施的情况下发布的。
天然，开阔品评的声息运行皆集到事件的中枢东说念主物：CrowdStrike的首席实行官George Kurtz。
科技行业分析师Anshel Sag指出，这也曾不是库尔茨第一次在重要IT事件中饰演进军变装了。
熟识的配方，熟识的滋味
2010年4月21日，管理系统开发价格杀毒软件McAfee发布了一次面向企业客户的软件更新。
得回更新后的软件会删除一个Windows系统的关键文献，导致全球数百万台电脑崩溃并反复重启。
和CrowdStrike的诞妄肖似，McAfee的问题也需要手动建造（开拓断网离线）。
而Kurtz，恰是那时McAfee的首席时间官。
2012年，Kurtz创立了CrowdStrike，并一直担任首席实行官于今。
2010年，发生了什么？
app2010年4月21日早上6点，McAfee向企业客户发布了一个「有问题」的病毒界说更新。
然后，这些自动更新的Windows XP电脑，会胜利堕入「无穷重启」的轮回中，直到时间复古东说念主员到场手动建造。
背后的原因其实很通俗——杀毒软件在收到新的界说之后，会将一个老例的Windows二进制文献「svchost.exe」识别为病毒「W32/Wecorl.a」，并给以放胆。
一位大学IT东说念主员论述称，他的网罗上有1200台电脑因此瘫痪。
另一封来自好意思国企业的电子邮件称，他们有「数百名用户」受到了影响：
这个问题影响了大都用户，而通俗地替换svchost.exe并不可处分问题。你必须启动到安全样式，然后装配extra.dat文献，再手动运行vsca 戒指台。之后，你还需要删除阻遏的文献。每个用户至少有两个文献被阻遏，有些用户多达15个。不幸的是，使用这种方法，你无法详情你复原的文献中哪些是进军的系统文献，哪些是病毒文献。
此外，还有一份来自澳大利亚的论述称，该国最大的超市连锁店有10%的收银机瘫痪，导致14到18家商店被动关闭。
这件事在那时的影响之大，让世东说念主纷纷咋舌：「即等于专注于开发病毒的黑客，意想都作念不出能像McAfee今天这样能速即『端掉』这样多机器的坏心软件。」
以下是SANS Internet Storm Center对这次事件的形容：
McAfee版块为5958的「DAT」文献，正在导致大都Windows XP SP3出现问题。受影响的系统将干预重启轮回并失去总共网罗皆集。这个有问题的DAT文献可能会感染单个使命站以及皆集到域的使命站。 使用「ePolicyOrchestrator」来更新病毒界说文献，似乎加快了这个有问题的DAT文献的传播。ePolicyOrchestrator通常用于在企业中更新「DAT」文献，但由于受影响的系统会失去网罗皆集，它无法排除这个有问题的签名。
Svchost.exe是Windows系统中最进军的文献之一，它承载了险些总共系统功能的干事。若是莫得Svchost.exe，Windows根柢无法启动。
两起事件天然相隔14年，但却有着雷同的狐疑——这样的更新是怎么从测试试验室流出并干预分娩干事器的。表面上，这类问题应该在测试初期就被发现并处分了才对。
何许东说念主也？
George Kurtz在新泽西州的Parsippany-Troy Hills长大，就读于Parsippany高中。
Kurtz示意，我方在四年龄时就运行在Commodore电脑上编写电子游戏设施。高中时，建立了早期的网罗调换平台——公告板系统。
他毕业于西东大学，得回司帐学学位。
随后他创办了Foundstone，并曾担任McAfee的首席时间官。
现在，George Kurtz在与Dmitri Alperovitch共同创立的网罗安全公司CrowdStrike，担任首席实行官。
除了营业成就外，他照旧别称赛车手。
Price Waterhouse（普华永说念）和 Foundstone
大学毕业后，Kurtz在Price Waterhouse运行了他的事业活命，担任注册司帐师（CPA）。
1993年，Price Waterhouse让Kurtz成为其新缔造的安全组的首批职工之一。
1999年，他与Stuart McClure和Joel Scambray共同撰写了《Hacking Exposed》，这是一册针对网罗治理员的网罗安全册本。该书销量提升60万册，并被翻译成30多种言语。
同庚晚些时候，他创办了一家网罗安全公司Foundstone，这是最早有利从事安全考虑的公司之一。Foundstone专注于疏忽治理软件和干事，并发展出了一个广受招供的事件反应业务，很多资产100强公司都是其客户。
McAfee
McAfee在2004年8月以8600万好意思元收购了Foundstone，Kurtz因此成为McAfee的高档副总裁兼风险治理总司理。在职期内，他匡助制定了公司的安全风险治理政策。
2009年10月，McAfee任命他为全球首席时间官和实行副总裁。
跟着时辰的推移，Kurtz对现存的安全时间运行冉冉感到悔恨，因为他以为这些时间莫得跟上新挟制的发展速率。
有一次，他在飞机上看到邻座乘客恭候15分钟才让McAfee软件在条记本电脑上加载实现，这一事件成为他创立CrowdStrike的灵感之一。
CrowdStrike
2011年11月，Kurtz加入私募股权公司Warburg Pincus，担任「驻企企业家」（entrepreneur-in-residence），并运行入辖下手他的下一个神志CrowdStrike。
2012年2月，他与前Foundstone的首席财务官Gregg Marston和Dmitri Alperovitch联手，精采缔造了CrowdStrike。
CrowdStrike将重心从反坏心软件和防病毒产物（McAfee的网罗安全方法）振荡到识别黑客使用的时间，以便发现行将到来的挟制。并开发了一种「云优先」（cloud-first）样式，以减少客户计较机上的软件包袱。
2017年5月，CrowdStrike估值提升10亿好意思元。2019年，公司在纳斯达克初次公开募股6.12亿好意思元，估值达到66亿好意思元。
2020年7月，IDC论述将CrowdStrike评为增长最快的端点安全软件供应商。
2024年，Kurtz仍然是CrowdStrike的总裁兼首席实行官。
确凿，寰宇就是个强劲的草台班子。
参考辛苦：
https://x.com/MalwareUtkonos/status/1814777806145847310
https://www.businessinsider.com/crowdstrike-ceo-george-kurtz-tech-outage-microsoft-mcafee-2024-7
https://www.crowdstrike.com/blog/falcon-update-for-windows-hosts-technical-details/
https://www.zdnet.com/article/defective-mcafee-update-causes-worldwide-meltdown-of-xp-pcs/